特斯拉整车OTA升级真香！其他车厂为何都做不到？

不管对于特斯拉(Tesla) 首席执行官埃隆·马斯克（Elon Musk）的个人看法如何，每一家汽车OEM都不得不暗地佩服特斯拉的一件事就是它的电动车(EV)拥有整车实现空中下载(over-the-air；OTA)软件升级的能力。

特斯拉不仅可透过OTA将软件升级发送到车辆内的车载资通讯(telematics)单元，更新车载信息娱乐系统(IVI)内的地图和应用程序(App)以及其他软件，还可以直接将软件增补程序传送至有关的电子控制单元(ECU)，以实现安全、可靠的功能升级。

Tesla透过OTA实现整车软件升级（来源：teslarati.com）

除了特斯拉之外，没有其他一家汽车制造商能够实现这一目标。

毕竟，世界上并不存在‘bug-free’的软件。IHS Markit汽车信息娱乐暨先进驾驶辅助系统(ADAS)研究总监Egil Juliussen指出，光是这个原因，当今搭载越来越多软件的车辆就应该具备OTA功能来修正软件错误。如果攻击者利用软件漏洞控制了车子或伤害乘客，这种修正功能对于“连网汽车”而言就更重要了。当这种情况发生时，汽车制造商应该尽速更新易受攻击的软件，以避免造成更多破坏。

Juliussen说：“特斯拉是一个例外。它的系统架构都是从头开始建构的，以便简化OTA过程。但大多数汽车OEM就无法这么大手笔了。他们必须找到一种方法进行渐进式的改变。”

OTA供应商激增，但…

Tier1和Tier2供应商敏锐地意识到汽车OEM对于OTA的需求不断成长。同时，为移动产业提供OTA的软件供应商开始转向汽车产业。毕竟，在他们眼中，连网汽车就是一部“有轮子的智能手机”(smartphones on wheels)。

许多OTA供应商们其实已经威胁到Tier1和Tier2的地位。

• 2015年初，Harman International Industries收购了以色列的Red Bend Software，这是一家为连网设备提供软件管理技术以及OTA软件与韧体(SOTA和FOTA)升级服务的公司。Harman后来被三星收购；
• 2016年，WindRiver——当时还属于英特尔(Intel)——将Arynga的软件产品线整合到自家汽车业务中。Arynga是一家专为汽车产业提供SOTA和FOTA服务的公司；
• 两周前，WindRiver透露福特汽车公司(Ford Motor Company)使用了他们的OTA升级技术。WindRiver声称其‘WindRiverEdgeSync’技术可以提供差异化的更新，能以最大限度减少更新的数据量、传输时间和内存用量，实现以OTA升级车用软件；
• 去年，Aptiv (原本称作Delphi Automotive)收购了密执安州的新创公司Movimento，并整合于其OTA平台。Aptiv的目标是帮助OEM收集和分析汽车资料，以检测漏洞、扩大召回范围、增补网络安全漏洞，以及加速自动驾驶的发展；
• 图资公司HRER推出了OTAConnect，并声称这是一款开放来源的解决方案，专为整合至OEM的后端服务器而设计。

此外，OTA平台市场上的其他公司还包括博世(Bosch)、Continental、Airbiquity和ATS等公司。

了解车辆的网络拓扑

这些举措都在描述汽车技术供应商和OEM之间都在竞争取得OTA。然而，根据IHS Markit资深分析师Colin Bird-Martinez的观察，大多数的OTA任务都是向远程的车载资通讯单元发送软件更新，无法解决安全气囊、动力传动系统、车身控制或安全所需的ECU软件更新。

现实情况是，连网汽车所需的OTA与智能手机的OTA是完全不同的概念。

为了实现汽车OTA (从云端到ECU)，Bird-Martinez说：“你需要具备两项条件：深入了解运算硬件，以及熟悉各种车载网络通讯拓扑。”

确实，针对直接与ECU通讯的软件增补程序，OTA供应商必须熟悉车辆内部的各种硬件单元。Bird-Martinez问：“ECU是否配备了两个内存组，以便在软件更新时，在其他内存中还有一个较旧的程序持续运作？”

他补充说，“二进制档案往往需要更多的空间。”虽然更新的数据可加以被压缩，但OTA供应商仍然应该确认它发送软件增补程序至特定ECU时，其芯片上内存是否有足够的空间。

Bird-Martinez还说，各种ECU分别连接至不同类型的车载通讯网络。例如常见的CAN、FlexRay、LIN、MOST以及以太网络等。OTA平台供应商需要了解车载通讯网络的所有细微差别，才能有效地传送软件更新。

曾听说过Excelfore吗？

一起进入Excelfore的世界看看。

尽管Excelfore还不算为人所熟知，但这家来自加州的公司已在车载网络开发协议堆栈已经拥有十年的经验了，业界都十分看好该公司在车载网络复杂性方面的技术优势。最近，Excelfore开发出云端到设备的OTA平台，称为eSync，目标在于让汽车制造商可以将软件更新从云端发送到车内的传感器或ECU上。

Excelfore营销总监Mark Singer说：“我们的专业知识已经从汽车发展到云端了。”据Singer表示，Excelfore的eSync平台目前已经有四家客户了——三家是“主流”的既有汽车OEM，另两家则是汽车新创公司。他们都试图将完整的eSync系统嵌入车辆中，并计划在全产品线中进行统一部署。

Excelfore并未透露目前拥有哪些客户，但他们也不只是尝试使用eSync。Singe表示，Excelfore的eSync OTA平台让他们能够向车内的5到10个电子设备发送软件更新，“但还不适用于所有的ECU”。

API在哪里？

Excelfore得以从eSync云端平台直接传送各种汽车OEM软件更新至车内不同电子设备的技术，主要来自该公司开发的“服务器-客户端-代理”(Server-Client-Agent)架构与API。

（来源：Excelfore）

抽象层允许“代理”——实际上是一段程序代码——能掌握车辆中终端设备的特定特征，并且了解如何与其通讯。Singer说，该设备可能是安全气囊、相机、光达或车身控制单元。由于“代理”提供了一定程度的抽象，因此，即使是不同的终端设备也可以为OTA平台提供一致的接口。

同时，“客户端”作为OTA主机，针对“服务器”发送查询，并在安全连接到“服务器”的同时识别车辆。

开放eSync云端平台

Excelfore在今年初决定向开放联盟eSync Alliance开放其eSync平台。

为什么选择开放产业联盟？

Singer说，“我们的想法是这样的：一方面，随着越来越多的OTA新创公司出现，Tier 1和Tier 2业者也对其虎视眈眈。但是在另一方面，主要的汽车OEM都不愿意只选择一个OTA平台。如果OTA平台仅为整车软件更新提供部份解决方案，他们将不会为了OTA的后端基础设施进行投资，也不可能承担在未来15到20年内维护服务器的负担。”

Singer说：“任何通讯链路的价值就取决于可以连接多少东西。我们将OTA视为一个数据管道，其价值取决于OTA可建立多少通讯——例如ECU、传感器等。”

Singer并指出，没有人需要30种不同的管道，“但我们希望eSync联盟能够开发出业界标准接口，Excelfore的eSynch可望成为其中的一部份。”

不存在利益冲突吗？

但是，Excelfore和eSync联盟之间的关系是什么？eSync联盟会不会给予Excelfore某种“不公平的”特殊待遇？

对此，eSync联盟执行董事Rick Kreifeldt告诉《EE Times》，“Excelfore是eSync联盟委员会成员之一，并开发了原始的eSync技术。随着我们向其他开发人员开放API，Excelfore将成为eSync技术的供应商之一。”总之，eSync联盟希望成为不同ECU公司、OTA平台供应商和Tier 1为整个汽车产业汇聚并释出API的枢纽。

一旦确立了API，Kreifeldt重申，“OEM则既可以使用Excelfore，也可以采用另一家供应商或甚至开发自己的eSync联盟兼容解决方案。由于该技术是模块化的，OEM甚至可以与来自两家不同供应商的产品混搭。”例如，Singer说，安全气囊的开发人员既可以自行编写符合eSync联盟标准的代理软件当然很好，但他也可以向第三方购买，甚至Excelfore也可以协助他编写程序代码。

Singer并补充说，目前已有5～6家OTA供应商——可能是ExcelFore的直接竞争对手——正计划加入eSync联盟。业界组织制定标准和向前进展的唯一方法就是撑起一个足以涵盖所有利益相关团体的大伞。

eSync联盟计划开发一条多供应商路径，建立端对端的安全OTA和数据服务（来源：eSynch Alliance）

为什么OTA很重要？

Kreifeldt认为，“适用于整车的OTA”应该成为汽车产业的当务之急。自动驾驶车可能真的能能够挽救人们的生命，但如果没有可靠的补救措施来解决导致如此多车辆召回的软件漏洞，自动驾驶车就无法实现这一终极目标。

在我们的采访中，Kreifeldt引用了近年来的一系列软件召回的事件，包括：

• 2016年：由于安全气囊系统中的乘员检测故障，日产(Nissan)召回320万辆汽车；
• 2016年：由于安全气囊系统进入诊断模式，通用汽车(GM)召回360万辆汽车；
• 2017年：由于安全气囊传感器问题，道奇(Dodge)召回了125万辆汽车。
• 从三年后的70%修复率来看，意味着明年将有大约240万辆带有安全气囊系统瑕疪的车辆上路行驶。

更糟糕的是，许多消费者即使知道有这一类的召回事件，也可能因为麻烦而不去更新软件。

Kreifeldt引用Stout Research估计的修复率来看：

• 对于车龄在5年以下的车辆，在车商发布召回的前九个月内，修复率为40%；
• 2018年：由于转向软件错误，通用汽车召回100万汽车。预计明年夏天还会有其中约60万辆车子继续上路行驶；
• 2018年：由于后视摄影机错误，本田(Honda)召回232,000辆汽车。预计明年夏天仍将有其中约139,000辆车子继续上路行驶；
• 2018年：由于软件故障导致失速，丰田(Toyota)召回240万辆油电混合车。预计明年夏天将有其中约144万车子继续上路行驶。

想象一下，如果OEM都建立了OTA平台，那么许多这一类的软件召回事件都可以轻松应对。简言，OTA更新不仅可以让车用设备保持在最新状态，还可以在基于软件召回的事件中让车主节省许多时间，也让汽车OEM省钱。

对于许多汽车OEM而言，OTA更新的主要推动力就是“节省成本”。此外，Juliussen还补充说，网络安全则是OTA必须成为连网汽车优先考虑的另一个原因。

Juliussen表示，OTA由于具有“功能性OTA”的前景，对于OEM来说更具有吸引力，因为汽车制造商可以在销售后利用软件升级添加功能，并进一步增加收入。

Kreifeldt指出，在双向OTA平台下，车辆可以将车载系统和组件的诊断和运作数据传输到云端；当有任何问题可能发生之前，系统将会自动向汽车OEM发出警告，提醒车子的潜在风险。

目前，特斯拉使用的是RedBend (现为Harman)的OTA平台，在云端和车辆之间进行通讯。但是，当涉及向整车发送软件更新时，特斯拉则采用内部开发的API。

对于OTA平台供应商而言，OTA更新的标准API (例如eSync联盟)优势应该是显而易见的。 Juliussen说：“当今许多OTA供应商只有一、两家客户。每个人都在做一些专有的事情，业务量并没有明显的增加。”即使像福特和GM等大型OEM也可能会发现标准API很有意思，因为它将为OTA解决方案带来价格竞争。

而对于较小规模的OEM，API标准可说是上天的“恩赐”，因为它自然会使其“制造或购买”决策变得更轻松。

关注最前沿的电子设计资讯，请关注“电子工程专辑微信公众号”