WLAN
Over-the-Air-Updates für Fahrzeuge, kurz OTA-Updates, sind ein wesentliches Merkmal moderner Fahrzeuge. Der Trend hin zu softwaredefinierte Fahrzeuge erfordert einen verstärkten Einsatz sowie umfangreichere Funktionen von OTA-Updates. Dieser Blogbeitrag befasst sich zunächst mit einem Rückblick auf die Geschichte von OTA, den derzeit verwendeten Ansätzen und deren zahlreichen Einschränkungen. Anschließend wirft er einen Blick in die Zukunft und untersucht die erweiterten Funktionen von OTA, die erforderlich sind, um den modernen Anforderungen des softwaredefinierten Fahrzeugs gerecht zu werden.
Was ist ein OTA-Update (Over-The-Air-Update)?
Im Allgemeinen beziehen sich Over-the-Air-Updates (OTA) auf die Aktualisierung der Fahrzeugsoftware, in der Regel durch Neuprogrammierung nichtflüchtiger Speicher oder „Flash“-Chips in verschiedenen Teilsystemen. In der Vergangenheit konnten nur Händler die Software im Rahmen von Wartungsterminen aktualisieren. Mithilfe fest verdrahteter Verbindungen und oft spezieller Hardware konnten Händler die Software abfragen und anschließend aktualisieren, um entweder beschädigte Software wiederherzustellen, Fehlerbehebungen zu installieren oder in einigen Fällen neue Softwareversionen zu installieren.
Im Laufe der Zeit, als Fahrzeuge zunehmend vernetzt wurden, erhielten immer mehr Fahrzeuge die Möglichkeit, bestimmte Arten von Software-Updates aus der Ferne oder „over the air“ herunterzuladen.
Diese OTA-Updates könnten über ein lokales WLAN-Netzwerk oder über eine Mobilfunkverbindung bereitgestellt werden. In einem späteren Abschnitt werden die Vor- und Nachteile der verschiedenen drahtlosen Übertragungsmethoden im Hinblick auf die Wahl der Verbindungsart näher beleuchtet.
Rückblick auf den aktuellen Stand der OTA-Technologie bei Fahrzeugen
Die OTA-Funktionen, über die viele Fahrzeuge heute – und auch in der Vergangenheit – verfügten, waren in wichtiger Hinsicht eingeschränkt. Dieser Abschnitt wirft einen Rückblick auf die Entwicklung von OTA und beleuchtet die Einschränkungen, die die Landschaft nach wie vor prägen.
So funktionierten OTA-Updates bisher
Auch wenn viele Autofahrer es vielleicht nicht bemerken, enthalten herkömmliche Fahrzeuge doch überall Software. Tatsächlich sind moderne Fahrzeuge eingebettete Systeme, die oft eine unglaubliche Menge an Software enthalten – Spitzenmodelle verfügen sogar über bis zu 100 Millionen Codezeilen enthalten, im Vergleich zu nur 14 Millionen in einem 787 Dreamliner.
Der Großteil dieser Software ist tief in elektronischen Steuergeräten (ECUs) eingebettet, die nur selten aktualisiert werden oder in manchen Fällen gar nicht aktualisiert werden können. Ein Grund für die erhebliche Komplexität bei Software-Updates für Autos ist, dass in typischen Fahrzeugen viele dieser Steuergeräte nur eine einzige Funktion ausführen oder ein einzelnes Teilsystem steuern, wie beispielsweise die Fenster, die Bremsen, die Abgasreinigung und so weiter. Eine zusätzliche Komplexität ergibt sich daraus, dass diese Steuergeräte in der Regel von vielen verschiedenen Zulieferern („Tier-1“-Zulieferer) für ein bestimmtes Pkw- oder Lkw-Modell entwickelt werden. Das bedeutet, dass die Durchführung von OTA-Updates heute oft die Einbindung anderer Hersteller erfordert
Viele herkömmliche Fahrzeuge verfügen in der Regel über begrenzte Möglichkeiten, Software-Updates in einigen ihrer Systeme durchzuführen. Bei vielen heutigen Fahrzeugen konzentrieren sich OTA-Updates vor allem auf die IVI- und Navigationssysteme sowie in einigen Fällen auf ADAS-Systeme. Dies ermöglicht beispielsweise die Aktualisierung von Navigationskarten oder das Hinzufügen neuer Funktionen zum Unterhaltungssystem. Im Allgemeinen finden diese Updates nur selten statt, etwa ein- bis zweimal pro Jahr, und werden von den Fahrern oft nicht als notwendig erachtet.
Einige der modernsten vernetzten Fahrzeuge, insbesondere Modelle von Tesla, Rivian, Mercedes und einigen chinesischen Herstellern, bieten umfangreichere Update-Funktionen, mit denen bestimmte Zusatzfunktionen per OTA aktualisiert werden können, auch wenn dies derzeit nur auf einen kleinen Teil der Fahrzeuge auf den Straßen zutrifft.
OTA-Updates für Fahrzeuge unterscheiden sich erheblich von denen bei Mobilgeräten
Der OTA-Update-Prozess zur Bereitstellung von Software-Updates für Smartphones ist den meisten Menschen vertraut, da sie regelmäßig Updates für Smartphone-Apps, Geräte-Firmware, Betriebssysteme und – immer häufiger – zur Behebung von Sicherheitslücken erhalten. Die Installation dieser Updates ist in der Regel unkompliziert: Das Gerät benachrichtigt den Nutzer, dass neue Software bereitsteht, und ermöglicht so eine schnelle und einfache Durchführung des Vorgangs über das Internet.
Es gibt jedoch wesentliche Unterschiede zwischen einem Smartphone und einem vernetzten Fahrzeug, die die Art und Weise verändern, wie Software-Updates heruntergeladen, bereitgestellt und installiert werden. Ein entscheidender Unterschied sind die Anforderungen an Sicherheit und Zuverlässigkeit von Fahrzeugen. Pkw und Lkw müssen über eine Sicherheitszertifizierung verfügen, und bei Updates muss besonders sorgfältig darauf geachtet werden, dass bestehende Sicherheitsmaßnahmen nicht untergraben werden. Darüber hinaus wurden die meisten Fahrzeuge, die heute auf den Straßen unterwegs sind, im Gegensatz zu Smartphones – die über eine hohe Abstraktion von Hardware und Software in Verbindung mit modernen Softwarekonzepten verfügen – nicht so konzipiert, dass sie aktualisiert werden können.
Autofahrer sind zudem weniger daran gewöhnt, OTA-Updates für ihre Fahrzeuge zu akzeptieren, da es in der Vergangenheit im Vergleich zu ihren anderen Geräten relativ wenige vernetzte Fahrzeuge gab. Die gute Nachricht ist, dass die Hersteller die Erfahrungen der Verbraucher mit der Aktualisierung mobiler Geräte nutzen können, um den Autofahrern zu erklären, wie OTA-Updates funktionieren, und ihre Nutzer dazu zu ermutigen, Updates in ihren Fahrzeugen ebenso regelmäßig durchzuführen.
Schließlich sind Fahrzeugarchitekturen wesentlich komplexer als die in Mobilgeräten – sie umfassen Elektronik und Software zahlreicher verschiedener Hersteller sowie häufig Komponenten aus mehreren Bezugsquellen, um Flexibilität bei der Beschaffung in der Lieferkette zu gewährleisten.
Seltene Aktualisierungen
Derzeit erfolgen Updates bei den allermeisten Fahrzeugen nur selten, in der Regel nur ein- oder zweimal im Jahr. Dies ist möglicherweise die schnellstmögliche Aktualisierungsfrequenz für bestehende Fahrzeuge älterer Bauart, da die enorme Komplexität der Softwarekoordination zwischen vielen verschiedenen Drittanbietern von Teilsystemen es schwierig macht, sehr häufige Updates durchzuführen. Mit dem Übergang zu softwaredefinierten Fahrzeugen wird dieser Ansatz jedoch nicht mehr tragbar sein.
Uneinheitliche Nutzung von WLAN-Netzwerken
Früher – und bei vielen Fahrzeugen ist dies auch heute noch der Fall – wurden OTA-Updates gar nicht angeboten. Stattdessen war ein Besuch beim Händler erforderlich, um neue Software zu installieren.
Bei Fahrzeugen, die Fernaktualisierungen zulassen, werden diese in der Regel nur über WLAN angeboten, sodass die Fahrer sich ein- oder zweimal im Jahr mit ihrem WLAN-Netzwerk zu Hause, am Arbeitsplatz oder einem anderen Ort verbinden müssen, um die Aktualisierungen herunterzuladen. Auch hier gilt: Bei seltenen, nicht unbedingt notwendigen Aktualisierungen, die nicht geschäftskritisch sind, kann diese Einschränkung ein akzeptabler Kompromiss sein.
Immer mehr Fahrzeuge werden mit einer Mobilfunkverbindung ausgestattet, zunehmend mit 4G/LTE-Konnektivität. Bei einigen Fahrzeugen können ausgewählte Updates über LTE heruntergeladen werden, beispielsweise systemkritische Updates, doch selbst bei Fahrzeugen mit LTE ist es in der Regel nicht möglich, größere, nicht kritische Updates über LTE herunterzuladen. Nehmen wir zum Beispiel Tesla, das dafür bekannt ist, häufige Updates für seine Fahrzeuge anzubieten. In den meisten Fällen bietet Tesla Updates nur zum Herunterladen über WLAN an.
Es werden derzeit nur bestimmte Teilsysteme aktualisiert
Die meisten Aktualisierungen an Fahrzeugen betreffen heutzutage die „Headunit“, auch bekannt als In-Vehicle-Infotainment-System (IVI), das aus dem Unterhaltungs- und Navigationssystem besteht. Dieses System ist zwar für das Fahrer- und Fahrgasterlebnis wichtig, hat jedoch nicht denselben sicherheitskritischen Stellenwert wie andere Fahrzeugsysteme.
Ein kleinerer Teil der Updates wird auf andere Systeme wie ADAS angewendet. Angesichts der rasanten Weiterentwicklung der ADAS-Funktionen müssen die Erstausrüster Updates bereitstellen, um die Sicherheit zu verbessern, festgestellte Mängel zu beheben oder die Leistung der ADAS-Systeme zu optimieren. Mit der Einführung neuer Funktionen für Fahrerassistenzsysteme (ADAS) – von denen einige in bestimmten Regionen gesetzlich vorgeschrieben sind – ist davon auszugehen, dass diese Art von Updates häufiger werden wird.
Eine weitere, weniger häufige Kategorie sind Aktualisierungen anderer Fahrzeugsysteme, sei es zur Optimierung des Antriebsstrangs bzw. des Motors, für Batteriemanagementsysteme in Elektrofahrzeugen oder in anderen Bereichen. Da diese Teilsysteme tief in das Fahrzeug integriert sind, finden Aktualisierungen dieser Systeme nach der Produktion derzeit nur selten statt.
Eingeschränkte Fähigkeit, Ausfälle zu vermeiden
Das Vermeiden von Fehlern bei Updates ist entscheidend für ein positives Kundenerlebnis. In den letzten Jahren gab es zahlreiche Beispiele dafür, dass Fahrzeuge aufgrund fehlgeschlagener Updates fahruntüchtig wurden – und zwar bei verschiedenen Automobilherstellern. Es kann verheerende Auswirkungen auf die Kundentreue haben, wenn ein Update so fehlschlägt, dass das Fahrzeug zur Software-Zurücksetzung zum Autohaus abgeschleppt werden muss. Leider ist dies in den letzten Monaten in einer Reihe von Fällen sehr öffentlich bekannt geworden.
Es gibt Technologien, mit denen eine Fehlertoleranz gewährleistet werden kann, um zu verhindern, dass ein fehlgeschlagenes Update das Fahrzeug außer Betrieb setzt – oder, wie man so schön sagt, „das Auto brickt“ –, doch nicht jedes Fahrzeug verfügt über diese Funktionen.
Unterschiede zwischen Elektrofahrzeugen (EV) und herkömmlichen Benzin- oder Dieselfahrzeugen
Eine Voraussetzung für OTA-Updates ist, dass das Fahrzeug eingeschaltet sein muss. Das mag selbstverständlich erscheinen, führt jedoch je nach Fahrzeugtyp zu einigen spezifischen Einschränkungen. Was bedeutet es konkret, dass das Fahrzeug „eingeschaltet“ ist?
Bei herkömmlichen Benzin- oder Dieselfahrzeugen (mit Verbrennungsmotor, ICE) sind die elektrischen Systeme in der Regel erst dann voll funktionsfähig, wenn der Motor tatsächlich läuft. Zwar verfügen die meisten Fahrzeuge über einen „Zubehörmodus“, in dem bestimmte Teilsysteme wie das Radio und die Fenster auch im geparkten Zustand in begrenztem Umfang betrieben werden können. In diesem Modus werden jedoch die meisten Teilsysteme des Fahrzeugs weiterhin nicht mit Strom versorgt. Dies liegt entweder daran, dass sie vom Motor mit Strom versorgt werden müssen oder dass sie in irgendeiner Weise mit dem Motorbetrieb verbunden sind.
Elektrofahrzeuge müssen naturgemäß nicht gestartet werden, um voll funktionsfähig zu sein. Im Allgemeinen verfügen Elektrofahrzeuge über mehrere Systeme, die ständig aktiv sind und verschiedene Teilsysteme, wie beispielsweise den Ladezustand der Batterie, überwachen. Noch wichtiger ist jedoch, dass ein Elektrofahrzeug alle Fahrzeugsysteme aktivieren kann, ohne einen Motor zu starten. So kann ein geparktes Elektrofahrzeug ohne Zutun des Fahrers den Vollbetrieb aufnehmen und sogar in einer Garage oder einem anderen geschlossenen Raum sicher in Betrieb gehen – was bei einem Benzin- oder Verbrennungsmotor nicht möglich ist.
Zwar können beide Fahrzeugtypen aktualisiert werden, doch aufgrund der technischen Besonderheiten ihrer Elektronik und ihres Antriebssystems ist ein OTA-Update bei einem Fahrzeug mit Verbrennungsmotor komplizierter und erfordert eine aktivere Mitwirkung des Fahrers.
Blick in die Zukunft: OTA im Zeitalter des SDV
Mit dem Eintritt in das Zeitalter der softwaredefinierten Fahrzeuge (SDV) wird die Bereitstellung von Over-the-Air-Updates (OTA) wichtiger denn je. SDVs verfügen über modernere, abstrahierte Hardware-/Software-Schnittstellen und mehr Funktionen, die in Software statt in dedizierter Hardware implementiert sind. Mehr aktualisierbare Steuergeräte (ECUs), schnellere Innovationszyklen, häufigere Updates und eine größere Vielfalt an Softwaretypen – all dies bedeutet, dass OTA für SDVs wichtiger ist als je zuvor. Ein erfolgreiches SDV muss über eine Lösung verfügen, die einfache, effiziente, kostengünstige, häufige und zuverlässige OTA-Updates ermöglicht. Werfen wir einen Blick auf einige der neuen Anforderungen, die SDVs mit sich bringen werden – darunter auch solche, die im Laufe der Zeit neue Funktionen bieten, anstatt nur einen einmaligen Verkauf beim Händler zu ermöglichen.
Regelmäßige Aktualisierungen
In den letzten Jahren haben Automobilhersteller entweder daran gearbeitet, die Kontrolle über ihre Software ins eigene Haus zu holen, oder zumindest von ihren Subsystemherstellern verlangt, Standards einzuhalten und ihre Software für Updates zugänglich zu machen. Auch der Wettbewerb treibt den Bedarf an Updates voran. Vorreiter unter den Automobilherstellern wie Tesla, Mercedes, BMW und einigen chinesischen Herstellern bieten ihren Fahrern deutlich häufigere Updates an. Berichte von Branchenanalysten ergaben, dass die meisten Updates in den letzten Jahren neue Funktionen bereitstellten, wobei Fehlerbehebungen an zweiter Stelle standen und zunehmend an Bedeutung gewannen, während Sicherheits- und Cybersicherheits-Updates die dritthäufigste Art darstellten.
SDVs werden häufiger aktualisiert werden, da der Softwareanteil in Fahrzeugen zunimmt, vor allem aber, weil Fahrzeuge bereits von vornherein für OTA-Updates konzipiert werden. OTA lässt sich zudem eng mit Cloud-nativer Entwicklung und CI/CD-Pipelines verknüpfen, um moderne Entwicklungsmethoden zu unterstützen,
Weitere Steuergeräte aktualisieren
SDVs werden auch weitere Teile des Fahrzeugs aktualisieren. Derzeit ist der größte Empfänger von Over-the-Air-Updates die „Headunit“ bzw. das IVI-System, das Navigation und Benutzeroberfläche umfasst. Es ist vielleicht nachvollziehbar, dass sich gerade die Benutzeroberfläche auf dem großen Bildschirm, die dem Fahrer zur Verfügung steht, rasant verändert und Möglichkeiten für die Weiterentwicklung des Fahrerlebnisses sowie für neue Funktionen über die Benutzeroberfläche bietet.
Allerdings wächst der Anwendungsbereich von OTA. Da fortschrittliche Fahrerassistenzsysteme (ADAS) immer intelligenter werden, müssen auch sie sich weiterentwickeln und an die Verbesserungen der Algorithmen und Modelle anpassen. Der ADAS-Computer ist derzeit der zweithäufigste Empfänger von Updates.
Doch SDVs können noch viel mehr. Die Möglichkeit, Komponenten über moderne Netzwerke wie beispielsweise Automotive-Ethernet miteinander zu verbinden, eröffnet zudem die Chance, Funktionen zu nutzen, die bei der Herstellung und beim Erstverkauf noch nicht vorhanden waren. Die Neukonfiguration von Netzwerken über dynamische Over-the-Air-Provisionierung ist eine Möglichkeit, Fahrern später neue Dienste anzubieten. Durch die Nutzung von Protokollen, die ursprünglich für das Internet entwickelt, aber um neue Sicherheitsstandards und Aspekte im Zusammenhang mit zeitkritischen Inhalten in Fahrzeugen erweitert wurden, wird das Potenzial von Fahrzeugen freigesetzt, eher wie ein „Rechenzentrum auf Rädern“ zu funktionieren.
Und diese Möglichkeit setzt sich bei SDVs fort. Während sich Updates früher auf Firmware-Updates einiger weniger Komponenten beschränkten, lassen sich mittlerweile immer mehr Systeme aktualisieren – von Karosserie- und Fahrwerkssystemen bis hin zu Antriebsstrang-, Sicherheits- und Batteriemanagementsystemen für Elektrofahrzeuge.
Multimodal
Anders als heute, wo es sich bei den meisten OTA-Updates häufig um Firmware-Updates für eine eingebettete Steuereinheit handelt, werden Software-Updates bei SDVs vielfältiger sein und verschiedene Arten von Software umfassen, nicht nur Firmware. Dies wird höhere Anforderungen an das Management von Abhängigkeiten bei OTA-Updates für SDVs stellen.
Mit der Weiterentwicklung von ADAS-Systemen müssen beispielsweise Modelle des maschinellen Lernens zur Verbesserung der Erkennung, der Sicherheit und des Fahrerlebnisses immer häufiger erforderlich sein. Mit dem Ausbau der Netzwerke werden die Bereitstellung und die Leistungsoptimierung erforderlich, wenn neue Funktionen hinzukommen, was Aktualisierungen der Netzwerkkonfiguration häufiger werden. Software, die heute als Teil der Firmware oder fest eingebettet bereitgestellt wird, wird zunehmend als Container bereitgestellt.
Mehr Flexibilität bei der Netzauswahl
Zwar werden heute die meisten Updates über WLAN bereitgestellt, um angesichts ihres erheblichen Datenvolumens Kosten zu sparen, doch wird sich dies wahrscheinlich ändern. Da OTA-Updates immer häufiger werden und zunehmend Sicherheitsverbesserungen beinhalten, gehen wir davon aus, dass es eine Mischung aus zeitkritischen oder sicherheitsrelevanten Updates geben wird, die über LTE- oder Mobilfunkverbindungen bereitgestellt werden, während größere oder weniger kritische Updates nur über WLAN angeboten werden. Dies erfordert eine sorgfältigere Planung, um die Komplexität dieser neuen Mischung zu bewältigen.
Umgang mit riesigen Aktualisierungsdatenmengen / Delta-Aktualisierungen
Die Größe von OTA-Updates ist an sich schon ein wichtiger Aspekt, da die Kosten für die drahtlose Datenübertragung erheblich sein können. Der „Brute-Force“-Ansatz, bei dem die gesamte Software-Nutzlast drahtlos übertragen wird, ist über LTE unerschwinglich, doch manche Updates erfordern dies möglicherweise. Ansätze wie das Senden nur der Änderungen oder des „Deltas“ gegenüber der aktuellen Version können eine Möglichkeit sein, den Datenverkehr zu reduzieren. Diese Ansätze erfordern jedoch ein detailliertes Modell der aktuellen Software, um die Ausgangsbasis des Updates zu verstehen.
Auch die Komprimierung wird entscheidend sein, um die Größe der Nutzdaten zu reduzieren. Fortschritte bei der Komprimierung können die Übertragungsgröße weiter verringern und müssen möglicherweise so angepasst werden, dass sie die große Bandbreite an Datenprofilen berücksichtigen, die sich mit demselben Algorithmus möglicherweise nicht alle gleichermaßen gut komprimieren lassen.
Mit Fehlschlägen umgehen
Auch der Umgang mit Fehlern wird von entscheidender Bedeutung sein. Die führenden Unternehmen in diesem Bereich setzen bereits Ansätze wie A/B-Partitionen ein, um sicherzustellen, dass ein Failover-Image aufrechterhalten werden kann oder ein fehlgeschlagenes Update das Fahrzeug nicht beschädigt. Diese Ansätze erfordern jedoch eine aktive Verwaltung und erhöhen die Komplexität der Updates zusätzlich.