用「軟體定義汽車」的背後，汽車OTA 升級的爭奪戰

OTA 升級能夠實現車輛重要功能的常用常新，更重要的是透過OTA ，汽車製造商可以在產品售出後透過增加功能的方式繼續獲得收入。這也是為什麼馬斯克認為未來搭載了FSD 的特斯拉車型會變成一件「持續升值的產品」。

不管大家對馬斯克的看法如何，特斯拉的整車OTA 能力想必是很多汽車廠商十分羨慕和渴求的功能。

因為特斯拉不只是簡單地把軟體升級包從雲端下發至車內的T-Box（Telematics Box，負責汽車無線通訊），來升級地圖等車機內嵌的APP 應用程式。它還能夠直接把修補程式直接發送至相關的、獨立的ECU，完成對汽車主被動、網路安全甚至是關鍵控制功能的升級。

▲ 特斯拉透過OTA 的方式持續做到各項功能的更新。圖片來源： TESLA

很多人之前把未來的汽車暢想成「一台手機加四個輪子」，所以也理所當然地認為整車OTA 應該和我們升級手中的iPhone 一樣簡單。但其實從架構的角度來看，智慧型手機基本只配備了一個處理器來執行各種APP，但汽車內部ECU 的數量至少有上百個，它們連接在不同的車內通訊網路上，同時每條網路又有著不同的資料傳輸協議。

畢竟這個世界上不存在「沒有漏洞」的軟體。整個汽車產業都在朝著「軟體定義」的方向逐步進化，所以能夠及時透過OTA 升級修正錯誤的能力就顯得十分必要了。特別對智慧型網路汽車而言，一旦被駭客入侵，輕者造成財產損失，重者會危及到乘客生命安全。這個時候，能夠及時阻止傷害進一步發生最有效的方式就是透過OTA 把軟體漏洞堵上。

這要比手機系統升級複雜得多。在受到特斯拉以及蔚來、小鵬等新造車勢力圍追截堵的壓力下，傳統汽車廠商希望能盡快讓自己的產品和雲端連接起來。最迫切的需求是能夠做到OTA 軟體升級，主要功能的即時更新，車輛維修/異常探測以及防止網路駭客的入侵。

但問題是，特斯拉的整車架構是從零開始打造的，傳統汽車廠商基於燃油車平台規劃的電動車型與之相比還是有很大分別。所以假設要做到類似特斯拉的OTA 功能，在獨立規劃的電動汽車產品量產前，幾乎所有的汽車廠商都需要找到一個「合適」且足夠安全的解決方案才行。這就讓提供「汽車OTA 升級」的供應市場變得異常火熱。

這也演化成了一個「智慧型汽車」的入口搶奪戰。

▲ 汽車OTA 升級的基本原理。圖片來源： HITACHI

激增的新供應商

不管是Tier 1 還是Tier 2 供應商，大家都感受到了主機廠客戶對OTA 升級方案的需求在持續增長。同時，來自行動產品終端的軟體公司也開始盯上了汽車這塊「肥肉」。在它們看來，汽車不過是「輪子上的智慧型手機」而已。

最後的結果就是做OTA 的軟體公司陸續被傳統供應商收入麾下，形成了各方勢力割據的總體局面：

2015 年早些時候，哈曼國際收購了總部位於以色列的軟體公司Red Bend。這是一家為網路汽車提供軟體管理技術、OTA 軟體和韌體升級服務的公司。但之後哈曼又被三星電子吃掉了。
2016 年，當時還是英特爾業務部門的Wind River併購了為汽車提供OTA 升級解決方案的Arynga。
兩週之後，Wind River宣佈福特將使用其OTA 升級技術。Wind River方面表示「Wind River Edge Sync 技術能夠提供不同的升級方式，可最小化資料容量、傳輸時間以及記憶體佔用」。
2017 年，從德爾福集團中分拆出來的Aptiv收購了總部位於密歇根的初創公司Movimento，並將其OTA 平台整合到了自家的解決方案中。Aptiv表示「希望幫助汽車廠商完成資料蒐集、分析的工作，監測漏洞，提升召回效率，堵上網路安全漏洞並加速自動駕駛技術的研發進程。」
HERE，作為一家圖資廠商，發布了OTA Connect 的產品。HERE 方面表示這款產品是開源的，能夠高效地整合至汽車廠商的後端伺服器。

其他在OTA 平台市場知名的供應商則有大陸集團、博世、Airbiquity 和ATS Advanced Telematics System。

誰在解決關鍵問題？

上面這種頻繁的合作和併購動態，其實也反應了整個汽車行業對OTA 技術的旺盛需求。既渴望擁有卻不具備特定領域的know-how，「花小錢辦大事」是最直接的解決辦法。但問題又來了，目前絕大多數OTA 能夠做到的還只是將軟體升級包發送至車內的T-Box，而不能實現ECU 層面的軟體升級，譬如對氣囊、動力總成、車身控製或安全等功能做出及時更改。

之前也提到過了，連網汽車和智慧型手機有著截然不同的電子架構。要在汽車上實現真正的OTA（從雲端到ECU），供應商首先要在運算硬體上有很深的知識儲備，比如了解車內不同硬體單元的差別。因為如果要與ECU 進行通訊直連，你得知道它是不是有兩個記憶體庫。這樣在OTA 的時候，其中一個記憶體庫可以寫入升級包，而另一個記憶體庫則可以存放舊版本的程式。

顯然這種雙記憶體的配置十分佔用空間。儘管升級資料可以進行壓縮，但OTA 供應商仍需要考慮它要傳輸升級包的ECU 是否有足夠的晶載記憶體（on-chip memory）。

其次，OTA 供應商還應該熟悉車內的通訊網路拓撲結構。因為不同的ECU 連接著從CAN 總線、FlexRay、LIN 到MOST、乙太網等不同的通訊網路，只有對每條線路的特點有清晰的認知才能高效地實現軟體升級。

對此，晶片供應商瑞薩認為要實現從OTA 的第一階段（對單一ECU 的升級）進化到能夠對整車功能更新，包括一些安全組件的更新。需要從兩個方面入手：一是降低車內通訊網路的複雜性；二是簡化車內API 連接埠同時增加MCU 對多個系統的整合化控制。

這其實涉及到了從傳統燃油平台向智慧型電動化邁進的過程中，整車電子電氣架構隨之發生的演化：從分散式逐步向集中式過渡。而全新車用運算平台的引入能夠簡化車內網路的結構，加速通訊協議的編譯過程同時增強各個子版塊的安全性。同時位於整個中樞系統的MCU應該足夠智慧，它需要把從乙太網獲得的資料提前進行壓縮，然後再傳輸給CAN總線。

▲ MCU 會隨著汽車電子電氣架構的變化而逐步進化。圖片來源：瑞薩電子

不過目前還沒有哪個量產的MCU 能夠勝任這樣的工作。瑞薩方面表示，R-CAR Gen 3 是它們目前用於汽車OTA 的主流產品。但隨著汽車功能整合以及中心域控制的能力逐步增強，預計2023 年會有適配全新電子電氣架構的產品問世。

當然，安全是OTA 升級中最關鍵的問題所在。不像手機升級不成功頂多是「變磚」，但汽車就不一樣了，稍有不慎就可能車損人亡。所以顯然不能很隨便地做整車ECU 升級，這就要求汽車廠商要製定相應的升級策略，特別是定義好「合適」二字，避免出現類似蔚來車主在長安街遭遇的窘迫事件。

這裡的「合適」既包括了對時間、地點、車輛狀態等要求，同時還要對軟體的功能性進行區分，比如關鍵系統一定要保持車輛靜止且電量充足等，像音樂、影片類似的APP 則可以在行駛過程中升級，只要確保不影響行車安全即可。

從這個角度出發考慮的話，在對汽車進行OTA 升級時，其實要先讓雲端伺服器與目標車輛進行通訊，鎖定並同時對目標進行持續監測，確保其符合升級要求。而一旦進入升級狀態，又會涉及一個新問題：中間發生錯誤怎麼辦？

其實升級過程中出現bug 很正常，但對汽車而言，需要製定更妥善的防錯機制保證車輛功能安全不受影響。像「斷點續傳」就是目前已知的OTA 防錯機制中一種較常見的方案。此外還有回滾機制，因為升級後新系統如果不穩定就需要退回到之前的版本，這也是對車輛安全的一種保護方式。

▲ Excelfore Esync 解決方案中下發軟體升級包的過程。圖片來源： Excelfore

除了這兩種主流的解決方案外，業界知名的公司Excelfore 還提出了一個「安全內核」的概念，用來保障系統與雲端的安全連接及對軟體進行升級。而初創公司Aurora Labs 的方案中包括了「Auto Detect」和「Auto Fix」兩項核心技術。前者在ECU 的後台運行，透過即時監測代碼層級的錯誤來做到對宕機事件的預測。一旦錯誤被鎖定，自動修復功能會將ECU 軟體即時回滾至上一個安全版本。理論上說，是不會出現「宕機」的情況。

再談OTA 的重要性

整車OTA 應該成為汽車產業優先解決的問題。自動駕駛汽車可能確實對降低交通事故傷亡率有幫助，但假設沒有靠譜的修補軟體漏洞的方法，到時候一旦面臨大規模召回，消費者的不滿情緒對品牌而言是最大的災難。

我們細數下近些年發生的因軟體問題而導致的汽車召回事件：

2016 年，日產召回了320 萬因氣囊系統問題無法辨識乘客的車輛；
2016 年，通用召回了360 萬氣囊系統自動進入診斷模式的車輛；
2017 年，道奇召回了125 萬輛安全氣囊感應器故障的車型；

更嚴重的是，很多消費者在得知汽車廠商發布的召回通知後，繼續放任軟體故障存在。根據調查研究機構Stout Research 發布的資料，購買5 年內的車輛在召回通知發布後的九個月內，維修率只有40%。例如，2018 年通用宣布因方向盤軟體故障召回100 萬輛車型，到現在約有60 萬台未得到修復的車輛仍行駛在道路上。

如果汽車廠商的整車OTA 技術能夠就位的話，對付這些bug 就變得易如反掌。而且OTA 升級不光能讓產品的電子系統保持最新，一旦出現因軟體故障導致的召回，可以節省大量的時間和金錢成本。

「對很多汽車廠商而言，OTA 技術上車的主要動力是出於成本節約的考慮。」行業諮詢機構IHS Markit 首席分析師Egil Juliussen說：「網路安全則是OTA 必須成為連網汽車標配的另一個重要原因。」

而OTA 升級對主機廠真正具有吸引力的地方在於「它能夠實現車輛重要功能的常用常新」。通過OTA，汽車製造商透過軟體升級的方式可以在產品售出後通過增加功能的方式繼續獲得收入。這也是為什麼馬斯克認為未來搭載了FSD 的特斯拉車型會變成一件「持續升值的產品」。

此外，在搭載了一套雙向通訊的OTA 平台後，車輛能夠將車端系統和零組件的診斷及運行訊息及時傳輸至雲端伺服器，這也有利於主機廠對某些潛在隱患進行預防性監測，做到「將風險提前扼殺在搖籃裡」。

目前特斯拉使用的是Red Bend（目前是哈曼國際旗下的公司）提供的OTA 平台進行車輛和雲端的通訊。但一旦涉及到整車軟體升級的問題時，特斯拉依賴的則是其內部開發的API 通訊埠。

▲ OTA升級有利於主機廠對某些潛在隱患進行預防性監測。圖片來源： HERE

標準的API 通訊埠能夠為OTA 升級帶來的優勢，對平台供應商而言是顯而易見的。目前很多OTA 公司只有一到兩個客戶，每家都在對接一些特殊的需求，這樣是不利於整個行業的良性增長的。所以，Excelfore 牽頭成立了eSync 聯盟，目的是解決目前汽車OTA 普及過程中面臨的一些問題。比如有效降低開發成本，縮短產品導入市場的周期等等。

「甚至像福特、通用這樣規模的企業都對標準化的API 產生了興趣，因為它能夠帶來更多成本上的競爭力。」Juliussen 如是說。「對小公司而言，這無疑是天上掉餡餅，因為這會讓消費者的選擇變得更容易些。」