OTA空中升级的难点与解决方案

时间:2017-02-13 作者:admin 点击:

在汽车行业内,可升级车载模块(Reprogrammable Onboard Module)的应用已经超过25年。但在电子控制遍布各种系统的今天,所有新车车主都明白一个道理,那就是自己车上的电子控制系统总有需要软件“升级”的时候,而且经常不止一次。

事实上,即使是轴承震动等纯机械问题,也能通过发动机模块中的软件升级而得到改善。

虽然的确有部分升级纯属是为了提高客户的满意度,比如解决空调系统无法维持设定温度这类问题的升级,但目前已经出现了越来越多出于安全考虑的升级。在最好的情况下,大约仅有70%的安全召回紧急通知能将顾客带回到经销商那里进行升级,这也就意味着剩余的车辆可能最终都未进行升级。目前,政府和汽车行业都在想法设法地提高这一比例,使获得升级的车辆其尽可能接近100%。

随着自动驾驶逐渐进入人们的视野,其安全方面的要求使得“为车辆进行及时升级”的需求变得日益迫切,如今的情况根本不允许等车主有空了,再去预约经销商进行升级。

特斯拉凭借OTA大获成功

最近,特斯拉(Tesla)的空中升级(Over-the-air,下简称OTA)服务非常成功,但由于特斯拉拥有的客户基数相对较小,因此对车辆进行识别并不困难。一般而言,特斯拉的常规升级需要45分钟。不过由于特斯拉是电动车,需要充电,因此完全可以在充电时完成升级。汽油或柴油车的情况则更为复杂,因为在升级前必须先判断电池的剩余电量,确定其能否坚持到升级完成。

事实上,部分汽车升级所需要的时间非常长,甚至可能超过1天。这种情况下,车主就必须去经销商那里利用厂家的专用工具或SAE J2534 “Pass-Thru(直通工具)”来完成升级。此类升级还需用到特种用途的专用电池充电器,因为只有这种充电器才能提供没有电噪声的“干净”电流,而电噪声则有可能导致升级失败。

由于汽车厂商应该为升级负责,因此他们可能会为充电设施安装可以“过滤”电噪声的电容器,从而使OTA的普及更加容易。

另一个影响升级的因素是可用带宽,这与移动网络的状况有很大关系。正是为了保证相对稳定的可用带宽,特斯拉才推荐车主在Wi-Fi环境下进行升级。此外,厂商还需为升级增加断点续传功能,这样车主就能在系统和电池电容可供使用的时候逐步完成升级。

对某个模块进行的升级,绝非仅仅只是和这个模块有关。由于数据总线的设计,有些升级可能需要持续很长时间。虽然升级本身可能仅针对一个模块,但总线上的其他模块也必须做出反应,在出现新信息时及时进行学习,判断是该进行识别还是选择忽略。

目前几乎所有信息娱乐系统/车载通信系统和Wi-Fi设备供应商都在与汽车厂商合作,开发特斯拉式的支持OTA升级的系统。但车辆基数越大、型号越复杂,这项任务就越困难。有报道称,若有一些汽车厂商将在今年开始提供OTA升级。

安全是首要问题

汽车系统供应商风河(Wind River)公司的汽车解决方案架构部总监Russ Christensen表示,首当其冲的是安全问题。OTA在端与端之间进行,类似云服务器等升级来源在一端,车辆的信息娱乐系统在另一端。因此,就相当于这两端都在与一个“确定的可信机构”对话。在汽车内部,“确定的可信机构”一般是指车辆的远程通信或网关模块。

Christensen告诉《SAE汽车工程杂志》记者,在这种结构下,智能手机、智能手表和免钥入车系统等现在常被忽视的附件,都有可能成为汽车“安全威胁的载体”。他补充说,虽然现在也有一些项目在为CAN(Controller Area Network,即控制器局域网)总线进行加密,但总线本身并未设计此类功能。

Christensen表示,OTA升级还需要途径将认证内容(这里指升级软件)下载至车内,以及用来存储这些内容的“位置”。在进行升级时,车辆会收到一份清单,上面列明了所有升级项目;当车辆发出“okay”信号后,云端就会发送自己的签名,而后车辆再进行验证。接着,车辆的ECU模块就会开始进行首个升级任务。这就引出了一个问题:如果安装失败了,系统必须能够激活“恢复(restore)”功能,以便能够恢复至升级前的状态。

假设一份清单上有三个升级任务,如果第三个升级任务安装失败,系统就需要用到“清除(removal)”功能,将系统恢复至升级前的状态。

这些都不困难,”Christensen指出,“我们只需在汽车设计阶段为车辆配备这些功能就行了。”他引用了“原子更新(atomic update)”的例子作为类比,其中所有更新任务必须一起进行,否则一个也不能安装。

绕过车主没问题

Christenson通过在银行进行转款的例子,介绍了车辆进行升级安装时必须遵循的安全协议。要知道,在银行转钱时,所有计划中的数据交换都必须瞬时完成,否则整个交易都得恢复至交易前的状态。

当需要进行紧急的安全升级时,由于需要得到车主的“评估”和“同意”,升级的过程相对缓慢,此时可能需要一些变通,比如设置一些有关何时可以跳过“需要车主授权”的规定,虽然不到万不得已时,厂商绝不会这样做。

在OTA升级面临的所有挑战中,最为关键的一项是如何准确识别车辆配置。目前很多厂商手中并没有置信水平可靠的车辆软件配置表,因此很难保证能为所有车辆选择合适的软件。

Christensen表示,“一旦车辆下线,厂商就不能再指望通过车辆识别码(Vehicle Identification Number,简称VIN码)来辨识车辆配置了,”特别是还有可能存在一些车内模块的更换,情况就更为复杂了。