在汽車(chē)未來(lái)發(fā)展的過(guò)程中，空中升級(jí)（OTA）對(duì)于車(chē)輛的信息安全顯得愈發(fā)重要。近日，億歐汽車(chē)邀請(qǐng)到了艾拉比總裁芮亞楠，基于其在電子、軟件行業(yè)12年的從業(yè)經(jīng)驗(yàn)，分享了智能網(wǎng)聯(lián)汽車(chē)OTA體系的設(shè)計(jì)與實(shí)踐。

十年來(lái)，隨著市場(chǎng)內(nèi)逐漸興起“可更新的汽車(chē)信息娛樂(lè)系統(tǒng)”的概念，汽車(chē)制造商也“趕時(shí)髦”地推出了可升級(jí)的車(chē)機(jī)系統(tǒng)和以及配備了聯(lián)網(wǎng)功能的汽車(chē)。而像特斯拉這樣來(lái)自硅谷的公司則走得更遠(yuǎn)，率先開(kāi)始為車(chē)主提供OTA遠(yuǎn)程更新服務(wù)。據(jù)國(guó)外相關(guān)機(jī)構(gòu)預(yù)測(cè)，到2022年，全球汽車(chē)生產(chǎn)企業(yè)每年能夠通過(guò)使用OTA的方式節(jié)省350億美元的成本。顯而易見(jiàn)，在汽車(chē)未來(lái)發(fā)展的過(guò)程中，空中升級(jí)（OTA）對(duì)于車(chē)輛的信息安全顯得愈發(fā)重要。

近日，艾拉比總裁芮亞楠受邀參與億歐汽車(chē)微課堂，與廣大微友分享了智能網(wǎng)聯(lián)汽車(chē)OTA體系的設(shè)計(jì)與實(shí)踐。ABUP艾拉比智能科技專(zhuān)注為汽車(chē)、物聯(lián)網(wǎng)領(lǐng)域合作伙伴提供專(zhuān)業(yè)OTA升級(jí)技術(shù)解決方案和定制化服務(wù)。該公司目前正式合作的客戶(hù)包括比亞迪、江淮、上汽通用、上汽乘用車(chē)、長(zhǎng)城汽車(chē)等主機(jī)廠，以及國(guó)內(nèi)Tier 1供應(yīng)商等，具備豐富的合作經(jīng)驗(yàn)與技術(shù)基礎(chǔ)。

芮亞楠此次分享主要圍繞三方面展開(kāi)：OTA與智能網(wǎng)聯(lián)汽車(chē)戰(zhàn)略、OTA體系設(shè)計(jì)思考、OTA體系實(shí)踐與進(jìn)階。以下為億歐汽車(chē)整理的現(xiàn)場(chǎng)分享實(shí)錄：

首先，行業(yè)發(fā)展趨勢(shì)勢(shì)必將走向由軟件定義汽車(chē)。摩根士丹利的數(shù)據(jù)顯示，目前在整個(gè)汽車(chē)產(chǎn)品中軟件與硬件的占比為1:9。就現(xiàn)階段而言，硬件占據(jù)了整個(gè)汽車(chē)成本以及生態(tài)系統(tǒng)的絕對(duì)主導(dǎo)性地位。但是在未來(lái)，隨著智能化、網(wǎng)聯(lián)化的不斷發(fā)展，汽車(chē)內(nèi)部的占比構(gòu)成會(huì)變成4:4：2，如果把內(nèi)容也看作是另外一種軟件形態(tài)的話(huà)，那么未來(lái)軟件的整個(gè)成本構(gòu)成及生態(tài)占比會(huì)超過(guò)硬件。這就是“軟件定義汽車(chē)”概念的由來(lái)。

從消費(fèi)端來(lái)看，用戶(hù)逐漸開(kāi)始把自己的關(guān)注點(diǎn)從汽車(chē)動(dòng)力、車(chē)身長(zhǎng)度、內(nèi)飾等方面，向?qū)浖w驗(yàn)及內(nèi)容生態(tài)等方面的感受傾斜。隨著“軟件定義汽車(chē)”趨勢(shì)的走強(qiáng)，未來(lái)或許還將發(fā)展成“軟件定義品牌”，就這點(diǎn)來(lái)說(shuō)，相信大家在手機(jī)行業(yè)都已經(jīng)有了切身的體驗(yàn)?，F(xiàn)在決定消費(fèi)者對(duì)于諸多手機(jī)品牌廠商的品牌體驗(yàn)和感受的差異性并不僅僅是硬件。如今，產(chǎn)品硬件本身是同質(zhì)化的，大家可能基本都選擇高通的芯片、索尼的攝像頭等等。但真正造成用戶(hù)對(duì)品牌形成差異化體驗(yàn)的，永遠(yuǎn)是軟件的體驗(yàn)以及內(nèi)容的生態(tài)。

所以從這個(gè)角度來(lái)講，這種“新概念”迫使整車(chē)廠必須去建立一套系統(tǒng)，使其能夠有效地管理自己未來(lái)的軟件資產(chǎn)，并且能夠遠(yuǎn)程進(jìn)行運(yùn)維維護(hù)和更新。這就是整個(gè)OTA體系建設(shè)訴求的由來(lái)。

OTA與智能網(wǎng)聯(lián)汽車(chē)戰(zhàn)略

我們先來(lái)探討一下OTA技術(shù)在智能網(wǎng)聯(lián)汽車(chē)發(fā)展戰(zhàn)略中的重要地位。2017年，各大主機(jī)廠紛紛發(fā)布了自己關(guān)于2025年智能網(wǎng)聯(lián)汽車(chē)的發(fā)展規(guī)劃及發(fā)展戰(zhàn)略。在這當(dāng)中，我們發(fā)現(xiàn)了一些共同點(diǎn)：很多主機(jī)廠都把OTA和診斷平臺(tái)變成自己發(fā)展戰(zhàn)略規(guī)劃中的一個(gè)重要的里程碑和基礎(chǔ)節(jié)點(diǎn)進(jìn)行建設(shè)。

在整體思路方面，大家普遍會(huì)分為四個(gè)階段：第一階段，汽車(chē)聯(lián)網(wǎng)能力的構(gòu)建和普及：在打造個(gè)人用戶(hù)系統(tǒng)的同時(shí)，提供基于互聯(lián)網(wǎng)特色的內(nèi)容和體驗(yàn)。

第二階段，OTA和診斷平臺(tái)等基礎(chǔ)性平臺(tái)的能力建設(shè)，為未來(lái)智能網(wǎng)聯(lián)核心工作的發(fā)展打下一個(gè)比較堅(jiān)實(shí)的基礎(chǔ)。

第三階段，引入輔助駕駛，很多車(chē)廠會(huì)在2020年左右推出支持輔助駕駛以及低級(jí)別自動(dòng)駕駛的部分智能網(wǎng)聯(lián)汽車(chē)產(chǎn)品，通過(guò)已經(jīng)建設(shè)好的OTA體系不斷優(yōu)化迭代輔助駕駛算法以及能力，同時(shí)車(chē)聯(lián)網(wǎng)后臺(tái)可以利用OTA管道來(lái)收集、處理更多與輔助駕駛相關(guān)的大數(shù)據(jù)信息。

第四階段，對(duì)于很多車(chē)廠2025規(guī)劃來(lái)說(shuō)，都是V2X以及高級(jí)自動(dòng)駕駛能力的實(shí)現(xiàn)。眾所周知，任何一個(gè)通信標(biāo)準(zhǔn)從誕生到成熟，都必須依賴(lài)于OTA技術(shù)的不斷迭代，來(lái)保證整體互聯(lián)性和互通性的普及。事實(shí)上，高級(jí)別自動(dòng)駕駛的實(shí)現(xiàn)，也是一個(gè)逐漸迭代的過(guò)程，不可能一蹴而就。目前，很多廠商選擇硬件冗余并通過(guò)軟件不斷迭代的方式，最終達(dá)到高級(jí)別自動(dòng)駕駛的狀態(tài)。

通過(guò)OTA技術(shù)，未來(lái)具有強(qiáng)大硬件性能和軟件OTA能力的車(chē)輛，才能成為真正意義上的智能終端。借此，車(chē)聯(lián)網(wǎng)才能夠?qū)⒋髷?shù)據(jù)能力、監(jiān)控更新能力以及用戶(hù)管理能力融為一體，完成下一代的進(jìn)階。

今年年初，國(guó)家發(fā)改委發(fā)布了智能汽車(chē)創(chuàng)新發(fā)展戰(zhàn)略，其中也對(duì)2020和2025年國(guó)家智能汽車(chē)創(chuàng)新發(fā)展的戰(zhàn)略目標(biāo)進(jìn)行了明確規(guī)劃。此舉無(wú)形中推動(dòng)了V2X以及高級(jí)自動(dòng)駕駛能力的快速實(shí)現(xiàn)，所以對(duì)于很多主機(jī)廠來(lái)說(shuō)，目前OTA體系的建設(shè)迫在眉睫。

在整車(chē)廠的規(guī)劃中，OTA體系和整個(gè)智能網(wǎng)聯(lián)運(yùn)營(yíng)平臺(tái)又存在何種對(duì)應(yīng)關(guān)系呢？整車(chē)廠對(duì)于OTA平臺(tái)的建設(shè)思路是獨(dú)立、統(tǒng)一、易對(duì)接和可擴(kuò)展的。

獨(dú)立意味著，區(qū)別于現(xiàn)在的TSP平臺(tái)。大家都知道，目前很多車(chē)廠在1.0發(fā)展規(guī)劃中已有自己的TSP平臺(tái)，其中具備一定的OTA能力實(shí)現(xiàn)對(duì)TBOX甚至是車(chē)機(jī)等單獨(dú)業(yè)務(wù)功能模塊的遠(yuǎn)程升級(jí)。但是站在整車(chē)角度來(lái)看，這種模式對(duì)整車(chē)長(zhǎng)遠(yuǎn)的發(fā)展并不能起到很好的支撐作用。所以，現(xiàn)階段有必要去建設(shè)一套獨(dú)立化的專(zhuān)屬OTA管理平臺(tái)。

統(tǒng)一，指的是未來(lái)對(duì)于固件升級(jí)、應(yīng)用層軟件升級(jí)、新功能的導(dǎo)入、ECU固件的更新、ECU標(biāo)定的更新、配置字的更新、安全補(bǔ)丁包升級(jí)等方面，未來(lái)都需要在OTA平臺(tái)上進(jìn)行具體的實(shí)施和落地，這需要一個(gè)統(tǒng)一的接口。

易對(duì)接的特點(diǎn)是，未來(lái)OTA平臺(tái)并非孤立存在，需要與各平臺(tái)體系進(jìn)行打通，這樣才能產(chǎn)生更大的價(jià)值。

可擴(kuò)展指的是，讓OTA平臺(tái)未來(lái)能夠自由擴(kuò)展到更多平臺(tái)進(jìn)行對(duì)接。同時(shí)，同一套OTA管理平臺(tái)可以支撐不同車(chē)輛車(chē)型平臺(tái)，還可以根據(jù)車(chē)輛數(shù)目的增多，進(jìn)行硬件擴(kuò)展。

從整個(gè)OTA體系的功能定位上來(lái)看，未來(lái)TSP平臺(tái)可以借助OTA平臺(tái)實(shí)現(xiàn)操作系統(tǒng)版本的更新、新功能的導(dǎo)入激活、ATP的升級(jí)管理以及內(nèi)容的更新；診斷和售后平臺(tái)可以借助OTA平臺(tái)實(shí)現(xiàn)ECU固件的更新、ECU標(biāo)定的更新、配置字的更新；車(chē)廠以后自己建設(shè)智能駕駛管理平臺(tái)未來(lái)可以借助OTA平臺(tái)實(shí)現(xiàn)邏輯處理部件的更新，以及算法和一些算法參數(shù)的更新，包括現(xiàn)在很多車(chē)廠正在建設(shè)的安全運(yùn)維管理平臺(tái)，未來(lái)可以利用OTA平臺(tái)進(jìn)行信息安全的應(yīng)急措施的響應(yīng)，以及安全漏洞的補(bǔ)丁升級(jí)。這就是OTA體系在整車(chē)廠規(guī)劃中重要作用的體現(xiàn)。

汽車(chē)OTA體系設(shè)計(jì)思路

接下來(lái)，我們?cè)倏匆幌缕?chē)OTA體系整體的設(shè)計(jì)和建設(shè)思路。從汽車(chē)OTA體系的基本框架來(lái)看，汽車(chē)OTA體系是一個(gè)典型的由云、管、端組成的系統(tǒng)。未來(lái)，汽車(chē)端層次包含了很多跟汽車(chē)OTA相關(guān)的具體應(yīng)用程序，運(yùn)行在供應(yīng)商的設(shè)備上。汽車(chē)端的工作包括：負(fù)責(zé)本地信息的采集及上報(bào)、未來(lái)升級(jí)包的下載與本地執(zhí)行等。

中間層——通信端，主要負(fù)責(zé)在云端和汽車(chē)端之間進(jìn)行業(yè)務(wù)交互協(xié)議定義，以及應(yīng)用層的相關(guān)協(xié)議。服務(wù)器端則主要負(fù)責(zé)升級(jí)包的制作，車(chē)型和車(chē)輛的管理，為不同的車(chē)型和車(chē)輛配置不同的升級(jí)策略和升級(jí)任務(wù)。這就是典型的OTA管理體系的構(gòu)成。

在云端，整體OTA體系建設(shè)核心思路包含以下幾個(gè)方面：首先是軟件管理，包括對(duì)于升級(jí)包的分類(lèi)，譬如ECU的固件包、很多車(chē)機(jī)平臺(tái)的軟件包，還有未來(lái)的地圖包、語(yǔ)音包、參數(shù)標(biāo)定以及配置字等不同的升級(jí)類(lèi)型。我們首先需要對(duì)它進(jìn)行分類(lèi)，同時(shí)不同類(lèi)型的升級(jí)包需要不同的制作過(guò)程。升級(jí)包及其制作過(guò)程都對(duì)應(yīng)不同的ECU，還有升級(jí)包自己本身迭代版本的對(duì)應(yīng)關(guān)系，都需要在軟件管理層面進(jìn)行統(tǒng)一考慮。

其次是車(chē)輛的管理。對(duì)于OTA來(lái)說(shuō)，當(dāng)我們?nèi)ネ扑突蛘吲渲靡淮蜲TA升級(jí)時(shí)，我們首先要了解到車(chē)端的具體情況，包括車(chē)端硬件體系的構(gòu)成以及當(dāng)前軟件版本的具體信息。這是能夠配置好OTA升級(jí)的前提條件。

再次是任務(wù)管理。我們會(huì)在任務(wù)管理中為不同的車(chē)輛模型配置不同的升級(jí)策略。配置好升級(jí)策略之后，未來(lái)還要通過(guò)白名單或黑名單的方式去管理不同的升級(jí)灰度。比如說(shuō)有些升級(jí)，必須要面對(duì)特定地區(qū)的車(chē)輛，或者是特定用戶(hù)名單中的車(chē)輛，或者是工程車(chē)輛。還有對(duì)于升級(jí)條件的管理，車(chē)輛必須滿(mǎn)足某種條件才能收到自己的升級(jí)包以執(zhí)行整個(gè)升級(jí)過(guò)程。此外，還有對(duì)于發(fā)布后的升級(jí)任務(wù)進(jìn)行管理，管理其執(zhí)行度及執(zhí)行狀況。

當(dāng)然，除此之外，對(duì)于OTA體系來(lái)說(shuō)最重要的還有對(duì)于人員的管理。隨著未來(lái)OTA體系部署和建設(shè)的私有化，車(chē)廠也規(guī)劃了專(zhuān)門(mén)的OTA管理團(tuán)隊(duì)，這當(dāng)中就會(huì)涉及到一些角色以及權(quán)限的分配。不同的角色和不同的權(quán)限對(duì)應(yīng)著不同的管理及工作流程，所以在云端建設(shè)中，人員的管理也是重中之重。

在管道端的建設(shè)速度方面，主要包括了以下幾個(gè)層次的思考：首先在鏈路層，對(duì)于整車(chē)廠而言，主要考慮的問(wèn)題是：未來(lái)流量池的問(wèn)題、未來(lái)整個(gè)OTA體系的流量是走用戶(hù)的流量還是走自己的流量？是否采用獨(dú)立的APN？還是跟現(xiàn)有的TSP APN復(fù)用？未來(lái)OTA場(chǎng)景走的是公網(wǎng)還是私網(wǎng)？或者說(shuō)公網(wǎng)私網(wǎng)混合的架構(gòu)？這些都是鏈路層需要考慮的問(wèn)題。

那在協(xié)議層部分主要考慮的是，在車(chē)端和云端建立的連接，是基于TLS1.2的雙向還是單向認(rèn)證體系？這部分跟整車(chē)端的實(shí)際能力以及車(chē)廠的建設(shè)思路息息相關(guān)。

至于管道端的應(yīng)用層，很多車(chē)廠需要考慮的是整個(gè)應(yīng)用層的協(xié)議。車(chē)端和云端的交互是否采用國(guó)際通用標(biāo)準(zhǔn)，比如說(shuō)采用OMA體系協(xié)議的規(guī)范和框架？還是基于私有化的自定義的協(xié)議體系和框架？這部分也將直接影響到未來(lái)的成本投入及靈活性，車(chē)廠需要做出綜合考量。

而在整個(gè)OTA體系中，建設(shè)難度相對(duì)較高的是車(chē)端體系的建設(shè)思路，其中主要包括三個(gè)層面。首先是整體架構(gòu)的設(shè)計(jì)，包含升級(jí)目標(biāo)的確定：哪些ECU未來(lái)可以作為遠(yuǎn)程升級(jí)的目標(biāo)，以及升級(jí)主控的選擇：需要以什么樣的設(shè)備為主，把升級(jí)包分發(fā)給別人，來(lái)掌控整個(gè)升級(jí)流程的進(jìn)展。還有升級(jí)流程的設(shè)計(jì)：未來(lái)整個(gè)升級(jí)流程如何執(zhí)行，出現(xiàn)問(wèn)題應(yīng)該怎樣處理。

除了整體架構(gòu)之外，也要在總線(xiàn)和協(xié)議方面進(jìn)行考量。未來(lái)升級(jí)包在車(chē)內(nèi)進(jìn)行傳輸，那我們采用什么類(lèi)型的總線(xiàn)進(jìn)行傳輸？大家都知道，大部分總線(xiàn)都是基于CAN線(xiàn)來(lái)傳輸?shù)?。然而?duì)于一些智能化設(shè)備而言，是否還適用于走CAN線(xiàn)，或者去走一些高速的總線(xiàn)。對(duì)于傳輸協(xié)議也是如此，對(duì)于CAN線(xiàn)上升級(jí)包的傳輸或者是刷寫(xiě)，可以復(fù)用現(xiàn)有UDS的協(xié)議。但是對(duì)于一些高速線(xiàn)的升級(jí)包的傳輸，也需要額外定義一些OTA相關(guān)的傳輸協(xié)議。未來(lái)升級(jí)的整個(gè)場(chǎng)景和用戶(hù)的HMI是息息相關(guān)的，車(chē)主必須要有執(zhí)行權(quán)，所以整個(gè)升級(jí)體系的流程必須要與HMI定義清晰的協(xié)議體系框架。

最后就是電氣性能的規(guī)劃和設(shè)計(jì)，主要包括升級(jí)方式的劃分。大家都知道，未來(lái)在車(chē)內(nèi)整個(gè)架構(gòu)中，不同ECU的電器器件，肯定會(huì)對(duì)應(yīng)不同的升級(jí)方式，有些可能是采用UDS刷寫(xiě)的方式，有些可能采用整包升級(jí)的方式，有些必須要采用差分升級(jí)或者增量升級(jí)的方式，這樣不同的升級(jí)方式需要提前進(jìn)行劃分。有了不同的升級(jí)方式，也要對(duì)應(yīng)地對(duì)空間、分區(qū)等ECU的選擇階段進(jìn)行空間方面的預(yù)留。同時(shí)，對(duì)于被選擇作為升級(jí)主控節(jié)點(diǎn)的設(shè)備，或者刷寫(xiě)主控節(jié)點(diǎn)的設(shè)備，未來(lái)也要提前規(guī)劃一些能力，比如說(shuō)聯(lián)網(wǎng)能力、存儲(chǔ)能力、分發(fā)能力以及安全能力。

當(dāng)然，上述三個(gè)方面其實(shí)只是一個(gè)前提和基礎(chǔ)，這只能保證未來(lái)車(chē)端是可以支撐云端OTA體系的。這其中最大的難點(diǎn)在于，由于未來(lái)車(chē)廠希望這套體系可以應(yīng)用于不同車(chē)型與平臺(tái)中，所以在平臺(tái)和車(chē)型之間存在著巨大差異化的前提條件下，如何能夠把上述設(shè)計(jì)抽象出統(tǒng)一的OTA升級(jí)體系規(guī)范，這件事對(duì)于很多從業(yè)者來(lái)說(shuō)非常值得思考，并且迫在眉睫。

汽車(chē)OTA體系實(shí)踐與進(jìn)階

最后，我們討論一下關(guān)于汽車(chē)OTA體系的進(jìn)階思考。首先，是統(tǒng)一化的建設(shè)思路。車(chē)廠必須在整個(gè)OTA體系的設(shè)計(jì)階段，就考慮到未來(lái)OTA管理平臺(tái)所接入車(chē)型的差異化。所以整體思路應(yīng)該遵循：導(dǎo)入供應(yīng)商的多元化以及ECU具體產(chǎn)品設(shè)備的硬件和軟件碎片化，才能保證未來(lái)自己平臺(tái)的統(tǒng)一化。

設(shè)計(jì)得再好，也要有可行性作為保障和前提。所以可行性保障對(duì)車(chē)廠來(lái)說(shuō)也是重中之重。就這方面而言，作為OTA服務(wù)商必須能夠給予車(chē)廠成熟方案，并且能夠根據(jù)車(chē)廠的實(shí)際訴求、實(shí)際能力進(jìn)行實(shí)際的定制。同時(shí)能夠拿出合理的分工及可行性計(jì)劃。更關(guān)鍵的是，除了擁有開(kāi)發(fā)能力和可行性能力之外，還要有一個(gè)能夠進(jìn)行測(cè)試和驗(yàn)收的成熟方案。在這部分，目前國(guó)內(nèi)體系相對(duì)比較缺失，這就必須要依賴(lài)于整個(gè)OTA體系服務(wù)商現(xiàn)有的經(jīng)驗(yàn)和項(xiàng)目能力，進(jìn)行整體把控。

另外一部分，就是對(duì)于供應(yīng)商的選擇。對(duì)于支持OTA的車(chē)型而言，未來(lái)供應(yīng)商的角色會(huì)變得非常重要。未來(lái)供應(yīng)商的能力包括對(duì)于自身設(shè)備特性的規(guī)劃能力，主控設(shè)備是否已經(jīng)具備了聯(lián)網(wǎng)、存儲(chǔ)、本地分發(fā)、安全管理等能力。他們是否有能力對(duì)于車(chē)廠定義好的SDK進(jìn)行集成式的開(kāi)發(fā)，以及自身的設(shè)施和驗(yàn)證能力，對(duì)于車(chē)廠來(lái)說(shuō)都是很關(guān)鍵的。

當(dāng)然，對(duì)于車(chē)廠來(lái)說(shuō)，最關(guān)鍵的還是自身管理體系的完善以及平臺(tái)的建設(shè)。管理體系的完善包括車(chē)廠自身對(duì)于車(chē)型車(chē)輛以及具體車(chē)輛中軟件管理能力的不斷建設(shè)和不斷提高。以及與未來(lái)建設(shè)好的OTA管理平臺(tái)，同步進(jìn)行OTA運(yùn)營(yíng)團(tuán)隊(duì)的戰(zhàn)略建設(shè)，當(dāng)前我們也在配合很多車(chē)廠同步進(jìn)行團(tuán)隊(duì)建設(shè)。這樣就保證了未來(lái)我們建設(shè)好的OTA平臺(tái)，是由真正的OTA運(yùn)營(yíng)團(tuán)隊(duì)進(jìn)行運(yùn)營(yíng)的，保證未來(lái)的交付質(zhì)量和交付效率。同時(shí)車(chē)廠也要規(guī)劃更多其他功能型平臺(tái)的建設(shè)，以及它們?nèi)绾魏蚈TA平臺(tái)對(duì)接，這些也是在OTA平臺(tái)建設(shè)階段同時(shí)需要考慮的問(wèn)題。

在Q&A環(huán)節(jié)，芮亞楠對(duì)于部分聽(tīng)眾關(guān)于OTA技術(shù)的問(wèn)題進(jìn)行了解答：

Q：在OTA更新過(guò)程中，除了簽名驗(yàn)簽的防護(hù)機(jī)制之外還有其他防護(hù)策略嗎？如果僅有簽名驗(yàn)簽的防護(hù)，有哪些風(fēng)險(xiǎn)？

A：在OTA的更新中，簽名和驗(yàn)簽機(jī)制是最基礎(chǔ)的工作，也是我們進(jìn)行OTA體系建設(shè)時(shí)必須要實(shí)現(xiàn)的機(jī)制。通過(guò)簽名和驗(yàn)簽機(jī)制，主要防護(hù)未來(lái)升級(jí)包來(lái)源的合法性，這是基礎(chǔ)。當(dāng)然，只有簽名和驗(yàn)簽機(jī)制是遠(yuǎn)遠(yuǎn)不夠的，同時(shí)還涉及到身份的驗(yàn)證。比如說(shuō)，車(chē)端要和云端實(shí)現(xiàn)交互，除了驗(yàn)簽機(jī)制之外，還要對(duì)身份進(jìn)行驗(yàn)證。這部分工作需要基于PKI的體系進(jìn)行建設(shè)，或者需要PKI的一些基礎(chǔ)。同時(shí)，除了對(duì)升級(jí)包進(jìn)行簽名和驗(yàn)簽之外，還需要加密和解密技術(shù)，為了杜絕未來(lái)升級(jí)包內(nèi)容泄露的可能性。

Q：OTA升級(jí)管端通道是用公網(wǎng)或私網(wǎng)，各自的優(yōu)劣勢(shì)，怎么考慮？

A：對(duì)于公網(wǎng)和私網(wǎng)的優(yōu)劣勢(shì)主要基于以下幾方面考量：私網(wǎng)最大的好處當(dāng)然就在于安全性和私密性的保證，其劣勢(shì)則在于未來(lái)隨著車(chē)輛不斷增多，對(duì)于整個(gè)服務(wù)器的處理能力以及管道吞吐量有著很高的要求，尤其是對(duì)于整個(gè)車(chē)輛跨地域覆蓋程度是一個(gè)很大的挑戰(zhàn)。

公網(wǎng)的優(yōu)勢(shì)就在于，可以利用現(xiàn)有的公有云資源，尤其是借助CDN技術(shù)，來(lái)保證未來(lái)面對(duì)大規(guī)模車(chē)輛的升級(jí)場(chǎng)景時(shí)，可以采用CDN技術(shù)進(jìn)行升級(jí)包的有效分發(fā)和高效的下載。當(dāng)然，缺點(diǎn)主要在于相對(duì)私網(wǎng)來(lái)說(shuō)，安全性稍有欠缺。這個(gè)就是車(chē)廠方面的實(shí)際考量。

從實(shí)際項(xiàng)目案例來(lái)看，目前大部分都采用了公網(wǎng)私網(wǎng)混合的流程，業(yè)務(wù)流程使用私網(wǎng)，升級(jí)包的下載過(guò)程基于公網(wǎng)。這也是實(shí)際項(xiàng)目中的典型選擇。

Q：針對(duì)于不同硬件供應(yīng)商升級(jí)包格式的差異化，OTA平臺(tái)如何做到統(tǒng)一管理各類(lèi)廠商的升級(jí)包？

A：這是一個(gè)十分核心的問(wèn)題。未來(lái)需要提供一套整體的統(tǒng)一的做包工具，通過(guò)做包工具彌補(bǔ)這些差異化。當(dāng)然，在做包的時(shí)候，首先需要進(jìn)行分類(lèi)，再去實(shí)現(xiàn)標(biāo)準(zhǔn)化。除了標(biāo)準(zhǔn)化之外，還有管理的統(tǒng)一性，要跟車(chē)廠現(xiàn)有的管理體系規(guī)范達(dá)成一致。比如說(shuō)很多車(chē)廠現(xiàn)有的零部件管理系統(tǒng)，其中一些編碼規(guī)則將同樣適用于軟件，統(tǒng)一規(guī)劃實(shí)現(xiàn)。

Q：現(xiàn)階段在車(chē)輛深度嵌入式且對(duì)安全性要求較高的應(yīng)用方面，似乎還尚未實(shí)現(xiàn)OTA。對(duì)此，艾拉比方面未來(lái)是否有相關(guān)針對(duì)性計(jì)劃？您認(rèn)為，就這方面而言，哪種路線(xiàn)是最優(yōu)選擇？

A：從我們以及很多車(chē)廠的觀點(diǎn)來(lái)看，當(dāng)考慮技術(shù)可行性和方案搭建時(shí)，其實(shí)就已經(jīng)把深度嵌入且相對(duì)安全性較高的ECU升級(jí)考慮進(jìn)來(lái)了，這里面最典型的就是底盤(pán)ECU等等。當(dāng)然現(xiàn)在大家看到，很多車(chē)廠對(duì)外宣傳或者對(duì)外介紹時(shí)，的確是沒(méi)有涉及到這樣一些領(lǐng)域。這背后的原因在于，OTA體系的建設(shè)不是一蹴而就的，需要一個(gè)漸進(jìn)的過(guò)程。所以對(duì)于車(chē)廠來(lái)說(shuō)，現(xiàn)階段并未把ECU體系作為當(dāng)前建設(shè)目標(biāo)，但是目前在我們的合作車(chē)廠中，都已經(jīng)將其確立為下一步升級(jí)目標(biāo)了。

第二，對(duì)于這樣一些核心關(guān)鍵件的ECU，同時(shí)也需要有很高的可靠性保障。為了實(shí)現(xiàn)這種保障，在整體架構(gòu)層面，未來(lái)比如說(shuō)刷寫(xiě)這些ECU，或者升級(jí)這樣ECU的主節(jié)點(diǎn)上面，要做很多優(yōu)化和冗余的工作。同時(shí)呢，對(duì)于這樣的ECU本身，也要做好這種雙分區(qū)、雙備份的機(jī)制，這樣的話(huà)才能夠?qū)崿F(xiàn)可靠穩(wěn)定的升級(jí)。

所以就這方面而言，關(guān)于這個(gè)路線(xiàn)我認(rèn)為肯定是一個(gè)逐步實(shí)施逐步實(shí)現(xiàn)的過(guò)程。不是說(shuō)車(chē)廠有直接規(guī)劃就可以直接實(shí)現(xiàn)的，同時(shí)也要借助于ECU廠商以及整車(chē)架構(gòu)的變化。所以我相信可能大家在2019年或2020年的部分車(chē)型上，能夠見(jiàn)證這樣場(chǎng)景的實(shí)現(xiàn)。