首批汽车安全沙盒监管试点技术解读——OTA技术

2023年11月，市场监管总局质量发展局发布《关于确定首批汽车安全沙盒监管试点名单的通知》，共有11家整车、零部件、科技公司入围名单，9项新技术、新功能成为监管试点对象。其中，整车级高效灵活的软件在线升级（OTA）技术方案是监管试点对象之一。

作为国家智能网联汽车质量检验检测中心，达安中心受邀在《中国汽车报》发表主题文章，从技术概况、技术发展趋势与挑战、首批汽车安全沙盒监管试点申报情况等方面对OTA技术进行了解读。

01  OTA技术概况

对于汽车而言，OTA最早出现在特斯拉2012年推出的Models S车型上，其更新范围涉及自动驾驶、人机交互、动力、电池系统等领域，通过OTA的方式特斯拉完成钥匙卡漏洞、续航里程提升、提高最高速度、提升乘坐舒适度等功能或者漏洞的修复。2016年11月，丰田宣布将采用OTA技术更新车辆ECU软件，并讨论了上市车辆通过OTA新增功能的可能性。2017年5月，福特首次通过OTA技术为搭载Sync 3车载系统的车型新增功能。

在国内，造车新势力蔚来、小鹏、理想等汽车企业也在其全系车型搭载OTA技术，实现了整车零部件软件更新的能力。由于用户需求的多样性，新势力车企在升级能力和功能丰富性上具有更多的优势，蔚来汽车推出的具有OTA升级服务的NIO Pilot自动驾驶辅助服务，并支持功能订阅。同样，小鹏汽车也推出了自动驾驶辅助系统XPILOT 3.0的付费解锁服务。自主传统主机厂如吉利、长城、东风、长安、上汽等通过其软件子公司或第三方服务商依托自身资源优势，在其新能源品牌通过OTA技术实现整车零部件软件更新，在OTA功能上支持差分升级，诊断刷写，并行升级以及软件付费订阅等能力。

随着OTA逐渐成为智能网联汽车的标配，市场规模呈指数级增长。据佐思汽研数据统计，2023年1-6月，中国乘用车OTA装配量为527.4万辆，同比增长31.8%。预计至2026年中国乘用车OTA装配率有望达到88%，装配量约2193.7万台。

总体来看，在软件定义汽车的行业背景下，主机厂为进一步增加品牌竞争力，打造用户差异化体验，在其OTA的技术产品布局上逐步加大，OTA的技术能力快速提升。但是随着消费者对OTA观念的转变以及技术的变革，OTA在其覆盖率、安全性、稳定性、升级效率、使用场景上还需要进一步的技术创新，才能更好的推动智能网联汽车的发展。

1.1  技术定义

OTA（Over-The-Air update），中文可以翻译为远程升级技术，是指通过无线方式而不是使用电缆或其他本地连接进行数据传输的升级技术。该技术在智能手机中的应用已经非常普及，手机制造商通常都会采用OTA的方式更新已售手机的软件系统，通过OTA技术可以修复手机软件中的Bug，增加手机的安全性、功能及服务内容。近年来，生产者将OTA技术应用于智能网联汽车，为汽车提供远程数据管理或软件升级服务。OTA已经成为智能网联汽车的一个必备功能。

汽车OTA 大体上可分为两类:

一类是软件在线升级SOTA（Software-over-the-air），是在操作系统的基础上对应用程序进行升级。那些看上去离使用者更近的升级，例如大屏车机系统更换操作界面、主题，甚至是更换仪表盘显示风格时，用到的基本都是这种SOTA的升级方式。

另一类是固件在线升级FOTA（Firmware-over-the-air），是指不改变车辆原有配件的前提下，通过写入新的固件程序，对设备的底层操作系统的软件升级。涉及车辆的动力、底盘、智能驾驶辅助、电池等控制系统用到的基本都是FOTA，比如特斯拉曾通过FOTA新增自动驾驶功能、增加电池容量和改善刹车距离等。

1.2  技术特点

汽车OTA是“互联网+”的一种应用，即“互联网+汽车”，是智能网联技术在汽车上的重要应用，也为软件定义汽车这一理念的落地提供了支撑。OTA技术为车辆搭建了一条全生命周期的运营通道，是汽车持续智能化演进的保障技术。

通过 OTA 技术可以远程修复软件故障，减少制造商的召回成本和用户时间成本；可以及时响应客户软件相关需求，增强用户体验满意度；可以持续增加新功能，充分发挥汽车硬件算力价值；可以拓宽软件增值服务，创造新的商业模式。

和之前的汽车升级方式相比，汽车OTA更加便捷，用户体验更加友好。没有汽车OTA之前，整车厂把车卖出去之后，软件升级必须要通过4S店。整车厂需要先出一个详细的指导文件、流程说明等发给4S店，4S店再通知车主把车开到店里，然后由专业的技术人员用专业的设备对软件进行升级。这种情况下，车主需要耗费时间把车送到4S店，升级好之后把车开回，中间可能会排队等待，用户体验上不那么友好。有了OTA之后，软件升级过程变得非常便捷，传统4S店的工作可以通过用户的简单操作，由OTA系统自动完成。

和消费类电子领域的基于PC和手机的远程升级相比，汽车OTA的载体更加复杂，实现难度更高。相对于消费类电子产品，汽车OTA的差别在于以下几方面：首先，从内部的软硬件架构来看，消费类电子产品的升级载体是相对单一的，而汽车的升级载体更加多样。手机和电脑内部的软硬件架构是一种“All-in-one”的方案，他们内部的控制计算都集中在整个的单一处理器里面，那么对他们的升级，安装包下载之后，最终只安装在一个地方，即安装在系统硬盘里，而不会对多个设备进行同步升级或软件包的下载。但汽车上的硬件架构是分布式，在汽车上有很多的控制器（ECU），每个ECU有自己的处理器，独立运行软件，实现相应的功能；对于某些复杂的整车功能，如智能驾驶功能，还需要多个ECU相互系统实现。所以对于汽车OTA来说，升级不仅仅是面对一个载体，而是要理顺整车上所有控制器的升级需求，逐个进行升级，这就增加了OTA的复杂性。同时，汽车作为一种交通工具，它的升级环境、硬件性能、安全要求等都和消费类电子行业有很大不同，也是汽车OTA和传统消费类电子OTA不同的原因。

1.3  技术路线

汽车OTA整体架构包含OTA云端平台、OTA终端和OTA升级对象三部分，如图1所示。OTA云端平台为汽车整车厂专属的云端服务器平台，OTA终端和升级对象都是车辆上的ECU。

图1 OTA升级架构

OTA云端平台的设计要求是独立的平台，支持多车型、多型号规格、多种类型ECU软件的升级。主要包括五部分：OTA管理平台、OTA升级服务、任务调度、文件服务、任务管理。

OTA终端多为Tbox、车机或网关，主要包含OTA引擎和OTA适配器，其中OTA引擎是一个连接OTA终端与OTA云端的桥梁，实现云端同终端的安全通信，包括升级包下载、升级包解密、差分包重构等功能。OTA适配器是为兼容不同的软件或设备的不同更新逻辑或流程，根据统一的接口要求封装的不同实现。升级适配器由需要OTA升级的各个ECU软件提供。

汽车OTA升级对象为车辆上的各类控制器，包括影音系统、ADAS、底盘、动力域的嵌入式ECU。嵌入式ECU通常采用软件备份功能，即ECU内部用于两片区域，一部分用于存储当前运行的程序，一部分用于存储备份程序。除第一次安装或者设备下线时，ECU内部只有一份软件外，之后安装的软件都会与上一份共存。当前运行的是最新的软件，如果升级过程中发生错误或者刷写的程序不能运行，ECU内部自动回滚至上一版程序，防止车辆趴窝。

02   OTA技术发展趋势与挑战

2.1发展趋势

趋势一：升级方式的多样化。随着车辆的电子化和互联化程度越来越高，OTA升级技术的升级方式也会变得更加多样化，例如通过无线通信、移动网络、蓝牙等多种方式进行升级。

趋势二：升级内容的丰富化。未来OTA升级技术不仅可以用于车辆的软件升级和安全补丁更新，还可以用于车辆的功能扩展、新特性的引入等方面。同时，OTA升级技术也可以用于车辆的数据更新和云端服务的更新。

趋势三：升级流程的优化。未来OTA升级技术将会越来越注重升级流程的优化。例如，通过车内外通讯网络提速、差分升级技术减小升级包等方式减少单次OTA时长，提高升级效率。

趋势四：升级安全性的提升。随着车辆OTA升级技术的普及，对安全性的要求也越来越高。未来OTA升级将会采用更加严格的升级保障机制、多重认证机制等技术，加强应急响应和防御能力，保证车辆升级过程中的数据安全和系统稳定性。

2.2  技术挑战

挑战一：版本多且乱。对汽车而言，目前的架构还是由多个ECU来构成，虽然现在汽车架构在从分布式架构向集中式架构发展，但集中的程度远远不如PC和手机。车辆上ECU众多，不同ECU有不同版本的软件，另外产商的车型众多，不同车型ECU的需求又不同，版本也存在差异。良好的版本管控和合理的升级顺序对于汽车OTA来说非常重要。

挑战二：过程不受控。和消费类电子产品相比，汽车在OTA升级时的网络环境更复杂，产品状态更不确定；和传统的线下升级相比，汽车OTA的操作人员是未经培训的用户，而非专业的4S店工作人员，操作不确定性大，必须更加关注不同使用场景对OTA的影响，例如网络状态变化对OTA升级的影响、预约升级设置的安装时间点用户正在用车等。

挑战三：升级时间长。车载ECU通常是通过CAN或Ethernet组成的车内网，通过one-by-one的方式逐个升级，这就使得整车升级的时间较长。在这段时间内，为安全考虑，车主又不能长时间离开车辆，客户体验不够友好。需要考虑采取并行刷写等技术减少升级时间。

挑战四：升级可靠性。在OTA传输过程中，外界干扰或者其他因素导致刷写异常或者中断，车载ECU必须支持软件回滚、断点续传、丢失重传等异常处理机制，保证升级过程的可靠性。

挑战五：信息安全性。安全是OTA优先考虑的内容，因为汽车是交通工具，可能影响车主和他人的安全。如果说升级过程影响了整车功能的安全，或者汽车可以很容易地通过升级的通道被入侵，那就违背了对整车最基本的功能定位。信息安全上，需保证云-管-端的网络安全、主机安全、数据库安全、数据传输安全等。整车功能上，需要充分验证升级后功能的完整性、安全性。

03  首批汽车安全沙盒监管试点申报情况

2023年11月10日，市场监管总局质量发展局发布“关于确定首批汽车安全沙盒监管试点名单的通知”，上海艾拉比智能科技有限公司申请的整车级高效灵活的软件在线升级（OTA）技术方案入选。

上海艾拉比智能科技有限公司是国内投入最早、规模最大的OTA技术研发服务团队之一，专注于汽车、物联网领域的OTA研发服务。艾拉比整车级OTA升级技术方案主要由车云交互、OTA主控、OTA子节点、智能ECU差分升级、诊断刷写引擎、通信协议栈等核心软件模块构成。在不同的软件模块中分别应用了多域ECU并行下载、智能ECU差分算法、多域并行升级、自适应诊断刷写以及License功能授权等创新性技术，保证了整车OTA升级的高效、灵活、稳定。

04  小结

OTA 技术是软件定义汽车的关键技术，也是汽车持续智能化演进的保障。汽车安全沙盒监管试点将围绕OTA创新功能的逻辑设计和技术实现的健壮性、OTA创新功能的运行性能及升级效率、OTA创新功能的安全风险等进行测试，深度挖掘影响OTA升级的风险因素，全面提升升级稳定性、升级效率及升级安全性。