2019年11月15日 | 让特斯拉一战成名的OTA技术 才是打开汽车智能化大门的钥匙

OTA正在成为人们日常生活中越来越容易接触到的词汇，什么是OTA？这三个字母的缩写背后是（Contents）Over The Air, ，这个Content可以是Update Over The Air远程升级，也就是被特斯拉带火的空中升级概念；这个Content也可以是Diagnostic Over The Air远程诊断，当车辆出了问题就不用去维修厂判断故障了；Content还可以是Data Over The Air，就是车辆的大数据应用，这个可用的场景就太多了，比如优化动力电池的BMS策略，提升行驶里程，比如预测零部件出故障的时间，提高用户体验等等。

在手机的使用场景中，可能屏幕前的你我对OTA并不陌生。因为它不过是一次触动屏幕后的系统升级，或者仅仅是App Store里，应用软件的更新。但手机走出的这一步，却给手机业态的发展带来了生态级的繁荣。例如，苹果凭借OTA诞生了App Store，并由这个应用市场提供了诸如移动支付，视频点播，新闻资讯、音乐播放、出行约车等丰富的衍生内容。软件在硬件支持的基础上，构建了一个更具想象力也更具现实服务意义的场景服务。诸如滴滴、拼多多、美颜相机等无数巨头公司从此诞生，很多人的生活就此改变，而今天，这样的改变正发生在汽车之上。

OTA是座彩虹桥

OTA在笔者眼中，是一座承载信息高速往来的美丽彩虹桥，自古以来，彩虹是人们心目中吉祥、美丽的象征，OTA的诞生，是在云端与用户间架起了数据沟通的桥梁，这些数据的流通也将给人带来便利与幸福。例如，手机通过OTA，可以不断完善自身，并构建出越来越丰富、安全的商业场景。此时的手机，已不再是传统单一功能的通话硬件，它具备计算能力，且通过OTA连接世界，已成为一个真正意义上的移动智能平台。它取代了PC，成为了人们日常使用时间更长的"个人电脑"。

相比手机，汽车无论是在硬件还是软件层面，都有着更大的想象力空间。智能手机是人类沟通的延展和信息的汇总，而智能汽车将在未来重塑空间的概念和颠覆生活的方式。某种程度上，车辆和手机一样可以搭载计算芯片、触屏、摄像头、音响、麦克风、上网模块与数据存储介质；不同的是车辆搭载上述内容的能力会更强，且受空间和散热的限制相对较小，车辆可以安装更多的传感器，例如激光雷达。目前便可判明的是，汽车在未来，一定拥有比手机更丰富的使用场景。而丰富的场景将会孕育出更多的功能，创造更多的价值。

仅以目前开发出的功能为例，具备整车OTA功能的车辆，已可以完成车辆的远程状态监控、远程诊断、预测性维护等车队管理功能。通过数据的实时交互，减少了以往车辆信息收集、再更新的时间与操作成本，同时通过大数据的能力，可以将即将发生的问题防患于未然，给车辆的使用节省了巨大的成本。

OTA在车辆的开发流程也有很大的作用。现在车企在新车上市前，大体要投入100至200辆测试车辆，进行6到9个月的路试，主机厂的工程师要一直拿着电脑跟着司机一起，在极寒或极热的测试场地进行一圈圈的路试。然后通过电脑把现场采集到的数据与自己的经验匹配，再进行修正。不得不说这是非常耗时并且容易出错的过程，大量的成本会在此处被耗费。但如果用以OTA技术为核心的数据管理平台，就可以避免上述弊端并获得以下好处：一是当工程师把一套现场本地的数据分析工具部署在电脑这边，并基于其经验设计完一套软件后，车辆跑完就可以体现实时结果，并且告诉司机如何调标定、如何调参数会更快。二是能够把测试的车辆数据实时传到云端使得云端那边的数据可以被远方工程师看到，从而节省大量时间资金成本。三是不仅可以在本地做数据处理，也可以把标定、逻辑和模型放到云端，做所谓的云端标定。四是不仅可以在SOP（Start Of Production开始正式量产）前应用，也可以成为SOP之后的长期应用，叫可持续的标定，好处就是会对于不同工作场景给到司机更好的驾驶体验。

再举个相对前沿的例子，某新造车势力，通过对车内摄像头的功能开发，可实时扫描驾驶员的脸部静脉血管流速，以判断其心跳次数和驾驶状态，再通过大数据记录、比对，在必要的时候，给予驾驶员相关的健康提示。

当然，在未来，通过OTA整车升级，车辆上会产生更多更丰富的使用场景。例如自动驾驶辅助系统的不断升级，车辆的自主控制能力会逐渐增强，L3、L4甚至L5级别的自动驾驶功能将得到普及；车内车载娱乐系统的不断升级，将支持车内支付、车内K歌、车内视频、车内游戏、车辆与家庭电器联通并进行远程操控，甚至以车辆为基础的移动PC功能，都将实现。在OTA这座彩虹桥的连接下，车辆正在从一个普通的交通工具，向拥有无限延展可能的智能移动终端进化。

FOTA是彩虹桥的基础

承载信息往复的高速彩虹桥，建立的基础是车身内部电子电器架构（Electrical/Electronic Architecture，简称EEA）的革新，与FOTA功能的普及。FOTA（Firmware Over-The-Air）移动终端的空中下载软件升级，指通过云端升级技术，为具有连网功能的设备：例如手机、平板电脑、智能汽车等设备提供固件升级服务。用户使用网络以按需、易扩展的方式获取智能终端系统升级包，并通过FOTA进行云端升级，完成系统修复和优化。

这一过程的背后是数据、生态、车辆、消费者环境的整体数据融合。50年前，车辆本身是独立的，不联网的交通设备。25年前的一款奥迪车，引入第一个ECU（Electronic Control Unit，最早的时候被命名为Engine Control Unit）概念。整车有5个ECU，都在发动机附近，通过电子信号控制发动机的正常运行。现在即使最普通的车辆，自身也有20至30个ECU。在高端车型上ECU的数量会达到上百个，控制的单元越来越多，车辆的电子电气化也越来越复杂。

为了解决这种复杂的电子设备管理、通讯，德国最大的工业企业之一——博世公司（Bosch）于1986年首次提出了应用于汽车内各种传感器和执行器之间相互通信的 CAN 总线（Controller Area Network）技术。以其可靠性、实时性和灵活性强的特点，可以在低延时的基础上，大量减少车内的走线布局，让车内系统安全稳定的运行，CAN 总线（Controller Area Network）技术因此得到了诸多汽车OEM企业的青睐。

但随着近些年来，车内电子电气装置数量愈发庞大，伴随着车辆联网，信息娱乐系统与自动驾驶系统的加入，车内产生的数据量呈几何量级增长。传统CAN总线的数据带宽等级早已不适应当下巨大的数据吞吐量；且由于在CAN总线应用时期，大部分车辆处于不联网状态，来自外界的安全威胁也相对较小，在不进行硬件接入的前提下，车辆的操控权限通常不会被攻破。随着互联网与物联网的不断发展，车内电子电气化架构的进化已势在必行。这就仿佛，曾经手机业从诺基亚、摩托罗拉时代，向苹果、安卓方向进化的形式一样，汽车也必须在自身内部，完成硬件基础的革命。

根据博世公司提出的电子电气架构六层理论，未来的车辆将从现有的基于CAN总线布局的分布式ECU架构，向以太网和域控制器阶段迈进，再从域控制器时代向整车电脑的方向进化，最终实现云计算控制车辆的水平。

如果用一个通俗的例子来形容，车内电子架构就相当于一家规模企业在不同阶段的管理体系。

CAN总线就如同传统的家族式中小企业。结构完整清晰，麻雀虽小，五脏俱全，由于家族式亲情链接，结构稳定。但这样的体系只适用于较小的经营规模。一旦资金和业务量巨幅增长，现有的管理制度将无法应付正常的经营，手忙脚乱，错误百出，被竞争对手攻陷或吞并，将会是必然结果。

域控制器的概念，如同这家家族企业建立了董事会制度。在董事会的统筹管理下，聘请各个领域专职的职业经理人（域控制器如同职业经理人的作用），分管各个业务分公司。原来的CEO（相当于中央处理器的作用）将管理权限下放，分摊到几个职业经理人，职业经理人统一向CEO（中央处理器）汇报（虚线向董事会汇报）。由于整体的管理效率得到提升，董事会则相当于云的作用，集合了独立董事、跨行业顾问等多元因素，对CEO（域控制器）进行专业的大方向指导。但随着经营规模和业务量的继续放大，"流程成本"的增长也成几何式增长，现有的管理制度再次不能适应业务的增长。

整车电脑的概念，则相当于当下的AI式自动化管理：此时无需职业经理人，而是通过用大量的自动化设备进行自主操作，用计算机与软件进行自主管理，使得管理流程尽可能缩短，管理架构尽可能扁平化。虽然仍然采用CEO制度，但CEO可以直接通过计算机管理软件来完成大部分工作。当然在这样的前提下，并不是把所有的工作都交给机器，一些特定领域的工作仍然由人工完成。但整体效率得到极大提升，且成本较低。董事会仍然存在，甚至在高阶发展阶段，CEO的工作直接被取消，由董事会直接管理（在低时延高网速的前提下，可以实施直接的云管理）。

FOTA发展三步走

罗马不是一步建成的，在博世的FOTA发展技术路线图中，制定了三步走战略。第一步是FOTA1.0阶段：在这一阶段中，实现了非安全相关组件的升级（信息娱乐系统升级，例如T-Box、车机、应用、操作系统等），因为不涉及到功能安全，所以相对容易。

在FOTA2.0阶段：FOTA涉及到CAN总线网络中全车ECU，也就是包含了非安全相关和安全相关的ECU，包括发动机、底盘等内容，这一阶段最大的挑战是安全性，在博世的体系内，FOTA 2.0的所有组件可以支持ASIL B等级以上ECU刷写的要求，且要在保证功能安全的情况下实现ECU升级和回滚策略。

在FOTA 3.0阶段：除了整个车辆ECU支持远程升级外，FOTA3.0支持更多的横向功能拓展，例如：一、远程诊断，远程标定，远程测量；二、 基于大数据的预测诊断和边缘计算算法、三、针对下一代电子电器架构（以太网）的ECU升级和并行刷写。这一阶段最大的挑战就是对技术变革中车辆电子的电器架构，各个子节点零部件和操作系统有深入的了解。

安全是彩虹桥上最美的色彩

正如歌声中的美好："阳光总在风雨后，请相信有彩虹。"美好的事物诞生之前，总会经历一段磨砺和考验。而对于汽车产业的革新来说，安全层面的保障绝对是首要重任。此前，某新晋电动车品牌采用了较为前沿的EEA架构，将车身上数百个ECU精简为了三个核心处理单元，并激进地将IVI系统（In-Vehicle Infotainment车载信息娱乐系统）和ADAS系统（Advanced Driver Assistance Systems,高级驾驶辅助系统）集成在了同一个计算单元之内;这就导致了黑客可以通过破解IVI系统，直接攻破车辆安全防线，达到控制车辆运行的结果。

所以，在化繁为简，应对海量数据与计算的同时，安全成为了新时代电子电气架构，以及开发FOTA功能中，最为重要的一环。

在博世的方案里，在实现整车OTA以及FOTA过程中，安全问题已可以从四个层次进行保障。第一个层次是对ECU的保护。比如ECU本身要带硬件安全模块，这种模块通常被称作HSM，英文叫Hardware Security Module，一个独立的IC芯片。系统的密钥和证书Hash都是放在这个硬件里面的，所以是不可篡改的。这个硬件并不是ECU本身，而是与ECU捆绑在一起，并行运作的独立单元，而且可实现硬件加密。第二个层次是在车载网络方面要对关键信号做保护。例如建立专门独立的信道，或通过不同的分层，对重要代码和信息进行单独的保护。第三个层次是要在铺设EEA架构时进行网关的隔离，将架构分成不同的域。如果简单把所有功能都划在同一个域里面，就会出现前文中提及的车辆被破解和被操纵的安全风险。第四个层次是要对车辆像电脑与手机一样增设防火墙，在车辆的核心领域与联网端进行隔离。

就目前的现状而言，市场上很多企业是做不到这完整的四层防护的，所以博世做OTA首先是建议，联网的T-BOX/车机和网关，要实现端到端的安全体系建设，这是最低的要求。但是如果车辆本身的电子架构决定了它没有进一步的防护功能，比如它就是基于CAN总线，或者车辆网络就是开放的，博世也会给合作伙伴提出安全防护的分析建议，包括它存在的安全风险，以及在经过分析后给出安全报告和整套解决方案等等，以期最大程度上进行纵深的防护。

写在最后：

电子电器化架构的进化，已然势不可挡，整车OTA（包含FOTA和SOTA）正在成为一座彩虹桥，将车辆赋予移动智能终端的功能与意义。在这条车辆的蜕变之路上，新的功能、新的模式、新的生态正在诞生、普及，在这一过程中人们的出行体验将得到大幅度提升，生活也会变得更加舒适、高效。不过，不谋万世不足谋一时，在架设美丽桥梁的同时，安全与可靠也在考验着汽车创造者们的智慧，只有在起步阶段，打好基础，才可以承载未来更繁茂的世界。