Wi-Fi
车辆空中升级（简称 OTA 升级）是现代汽车的一项关键特性。向 软件定义汽车 的发展趋势，要求更广泛地应用OTA更新并提升其功能丰富度。本文首先回顾OTA的发展历程，分析当前采用的方法及其诸多局限性；随后展望未来，探讨为满足 现代需求 所必需的扩展功能。
什么是 OTA（无线更新）？
一般而言，空中（OTA）更新是指对车辆软件进行更新，通常是通过重新编程各子系统内的非易失性存储器或“闪存”芯片来实现的。过去，只有经销商才能在车辆进厂保养时更新软件。经销商通过有线连接，并通常借助专用硬件，可以查询并更新软件，以修复受损的软件、安装错误修复程序，或者在某些情况下安装新的软件版本。
随着时间的推移，随着车辆逐渐实现互联，越来越多的车辆具备了远程（即“空中”）下载某些类型软件更新的能力。
这些 OTA 更新可以通过本地 Wi-Fi 网络或蜂窝网络连接进行推送。后文将探讨不同无线推送方式在连接选择方面的权衡。
回顾当前车辆OTA的现状
如今——以及过去——许多车辆所具备的OTA功能在某些重要方面一直存在局限。本节将回顾OTA的发展历程，并重点探讨那些至今仍在塑造这一领域格局的制约因素。
OTA 更新传统上是如何运作的
尽管许多司机 可能并未意识到这一点，但传统车辆的各个部位都嵌入了软件。事实上，当今的车辆都是嵌入式系统，其中往往包含数量惊人的软件，而尖端车型所包含的软件代码量甚至高达 1亿行代码，而一架787“梦想客机”的代码量仅为1400万行。
这些软件大多深度嵌入在电子控制单元（ECU）中，这些ECU很少更新，有些情况下甚至无法更新。汽车软件更新之所以极其复杂，原因之一在于：在普通车辆中，许多ECU仅执行单一功能或管理单一子系统，例如车窗、制动、排放控制等。 此外，由于一辆轿车或卡车中的这些ECU通常由许多不同的分包商（“一级”供应商）开发，这也带来了额外的复杂性。这意味着，如今要实现OTA更新，往往需要其他制造商的参与
许多传统车辆通常确实具备对部分系统进行软件更新的有限能力。在当今的许多车辆中，OTA更新的重点主要集中在车载信息娱乐（IVI）和导航系统上，某些情况下还包括高级驾驶辅助系统（ADAS）。这使得更新导航地图或为娱乐系统添加新功能等操作成为可能。通常这些更新并不频繁，可能每年仅1至2次，而且往往并非驾驶员必须进行的更新。
一些前沿的联网汽车，尤其是特斯拉、Rivian、梅赛德斯以及部分中国制造商生产的车型，提供了更强大的更新功能，其中部分附加功能可通过OTA进行更新，不过目前这类车型仅占路上行驶车辆的一小部分。
汽车的OTA与移动设备上的OTA大不相同
大多数人对于通过 OTA 更新向智能手机推送软件更新的流程都已非常熟悉：他们会收到手机应用、设备固件、操作系统的更新，以及——越来越频繁地——用于修复安全漏洞的更新。安装这些更新通常非常简单，设备会通知用户有新软件可用，并通过互联网快速便捷地完成整个过程。
但智能手机与联网汽车之间存在重大差异，这些差异改变了软件更新的下载、分发和安装方式。其中一个关键差异在于车辆对安全性和可靠性的要求。 汽车和卡车必须通过安全认证，因此更新时必须格外谨慎，以确保现有安全措施不受影响。此外，与具备高度硬件和软件抽象化、并采用现代软件设计的智能手机不同，如今道路上行驶的大多数车辆在设计之初并未考虑可更新性。
此外，由于历史上与其他设备相比，联网汽车的比例相对较低，因此驾驶员对接受车辆的OTA更新也较不习惯。好消息是，制造商可以借鉴消费者在更新移动设备方面的经验，向驾驶员讲解OTA更新的工作原理，并鼓励用户同样频繁地在车内进行更新。
最后，汽车架构比移动设备要复杂得多，其中包含来自众多不同制造商的电子元件和软件，且通常采用多渠道采购零部件，以确保供应链的灵活性。
更新不频繁
目前，绝大多数车辆的更新频率较低，大多数车辆通常每年仅更新一两次。对于现有的老旧车型而言，这可能是目前可行的最快更新频率，因为协调来自众多第三方子系统供应商的软件极其复杂，这使得频繁更新变得十分困难。随着我们向软件定义汽车的转型，这种做法将不再可行。
无线网络使用不规范
过去，而且至今许多车型仍然如此，根本不提供OTA更新。相反，必须前往经销商处才能更新新软件。
对于那些支持远程更新的车辆，通常仅通过Wi-Fi提供更新服务，这要求驾驶员每年一两次连接到家中、工作场所或其他Wi-Fi网络以下载更新。同样，对于那些更新频率较低、非必需且不涉及关键功能的更新而言，这一限制或许是一个可接受的权衡。
越来越多的车辆开始配备蜂窝网络连接，其中4G/LTE连接正日益普及。部分车型允许通过LTE下载特定更新（例如关键性更新），但即使是配备LTE的车辆，通常也不允许通过LTE下载较大且非关键性的更新。以特斯拉为例，该品牌以频繁为车辆提供更新而闻名。在大多数情况下，特斯拉仅支持通过Wi-Fi下载更新。
正在更新的子系统数量有限
如今，车辆的大部分更新都集中在“主机”上，即车载信息娱乐（IVI）系统，该系统包含娱乐和导航功能。虽然该系统对驾驶员和乘客的体验至关重要，但其安全关键性并不与其他车辆系统处于同一水平。
只有一小部分更新会应用到其他系统（如ADAS）上。鉴于ADAS功能的快速演进，整车制造商需要提供更新，以提升安全性、弥补已发现的缺陷或改善ADAS的性能。随着新的高级驾驶辅助系统（ADAS）功能的增加——其中一些功能在某些地区已被法律强制要求——我们预计此类更新的频率将会增加。
另一类更新虽然较为少见，但涉及其他车辆系统的更新，无论是动力总成/发动机调校、电动汽车的电池管理系统，还是其他领域。由于这些子系统的深度嵌入特性，目前这些系统在投产后进行更新的情况较为罕见。
避免故障的能力有限
避免更新过程中出现故障，对于确保良好的客户体验至关重要。近年来，已有许多因更新失败导致车辆无法行驶的案例，涉及多个不同的汽车制造商品牌。如果更新失败到必须将车辆拖至经销商处进行软件重置的地步，这将对客户忠诚度造成毁灭性打击。遗憾的是，近几个月来，此类事件已多次公开发生。
虽然存在一些技术可以提供容错功能，以避免因更新失败导致车辆无法运行——也就是俗称的“让车变砖”——但并非所有车辆都具备这些功能。
电动汽车（EV）与传统汽油或柴油汽车的区别
OTA 更新的一项要求是车辆必须处于“开机”状态。这看似显而易见，但根据车辆类型的不同，会带来一些具体的限制。具体来说，“开机”究竟是什么意思？
在传统的汽油或柴油（内燃机，简称ICE）车辆中，通常只有当发动机实际运转时，电气系统才能完全投入工作。 事实上，大多数车辆都设有“附件模式”，允许在停车时使用收音机和车窗等部分子系统。然而，在此模式下，车辆的大多数子系统仍然无法供电。这是因为它们要么需要由发动机供电，要么以某种方式与发动机的运行相关联。
电动汽车的本质决定了其无需启动即可进入全面运行状态。通常情况下，电动汽车配备有多个始终处于开启状态的系统，这些系统会持续监测包括电池电量在内的各类子系统。但更重要的是，电动汽车无需启动发动机即可开启所有车载系统。因此，停放的电动汽车无需驾驶员协助即可进入全面运行状态，甚至可以在车库或其他封闭空间内安全运行——这是汽油/内燃机汽车无法做到的。
因此，尽管这两类车辆都可以进行更新，但鉴于其电子系统和动力系统的具体实际情况，对内燃机汽车进行OTA更新更为复杂，且需要驾驶员更积极地参与其中
展望未来：SDV时代中的OTA
随着我们步入软件定义汽车（SDV）时代，提供空中升级（OTA）的需求比以往任何时候都更为关键。SDV凭借现代化的、抽象化的软硬件接口，以及更多功能由软件而非专用硬件实现，具备更强大的能力。可更新的电子控制单元（ECU）数量增多、创新周期加快、更新频率提高、软件类型更加多样化，所有这些都意味着SDV的OTA功能比以往任何时候都更为重要。 一款成功的软件定义车辆必须具备能够实现简单、高效、经济、频繁且可靠的 OTA 更新的解决方案。让我们来看看软件定义车辆将带来的部分新要求，包括那些能够随着时间推移提供新功能，而不仅仅是在经销商处一次性售出的车型。
频繁更新
近年来，汽车制造商要么致力于将软件控制权收回公司内部，要么至少要求其子系统制造商遵守标准并开放软件以便进行更新。 市场竞争也在推动更新需求。特斯拉、梅赛德斯-奔驰、宝马以及部分中国车企等行业领军企业，正向其车主提供频率更高的更新。行业分析师报告显示，近年来大多数更新旨在提供新功能，其中漏洞修复位居第二且占比不断上升，而网络安全更新则位列第三。
随着汽车中软件内容的增加，尤其是随着汽车设计时已将OTA更新纳入考量，SDV的更新频率将更高。此外，OTA还可以与云原生开发以及CI/CD管道紧密结合，以支持现代开发实践，
更新更多ECU
SDV还将对车辆的更多部件进行更新。目前，接收空中更新最多的部分是“主机”或车载信息娱乐（IVI）系统，其中包括导航和用户界面。可以理解的是，面向驾驶员的大屏幕界面正发生着快速变化，并通过用户界面为提升驾驶体验和开发新功能提供了机遇。
然而，OTA的应用前景正在不断拓展。随着高级驾驶辅助系统（ADAS）日益智能化，随着算法和模型的不断改进，这些系统也需要随之演进和适应。目前，ADAS计算机是更新频率第二高的设备。
但软件定义车辆（SDV）的功能远不止于此。通过现代网络（如汽车以太网）连接各组件的潜力，还释放了在制造和首次销售时原本不具备的功能。 通过动态空中配置（OTA）重新配置网络，是日后向驾驶员提供新服务的一种方式。利用最初为互联网设计的协议——这些协议已通过新增的安全标准以及针对车载时效性内容的具体细节进行了扩展——从而释放车辆的潜力，使其功能更趋近于“移动数据中心”。
而随着软件定义车辆（SDV）的出现，这一机遇仍在延续。虽然此前更新仅限于少数组件的固件更新，但如今可更新的系统范围正在不断扩大，涵盖车身和底盘系统，以及电动汽车的动力总成、安全系统和电池管理系统。
多模态
与当今情况不同——如今大多数 OTA 更新通常是针对嵌入式 ECU 的固件更新——SDV 中的软件更新将更加多样化，不仅包括固件，还涵盖其他各类软件。这将对 SDV OTA 更新中的依赖关系管理提出更高要求。
例如，随着ADAS系统的不断发展，更新 机器学习模型 以提升识别能力、安全性及驾驶体验的更新将更加频繁。随着网络的扩展， 配置和性能优化 将随着新功能的添加而变得必不可少，这也使得对 网络配置 的频率也会随之增加。如今，以往作为固件的一部分或深度嵌入系统中的软件，正越来越多地以 容器。
网络选择方面更具灵活性
虽然目前出于成本考虑，鉴于更新文件体积庞大，大多数更新都是通过Wi-Fi推送的，但这种情况未来可能会发生变化。随着OTA更新的频率越来越高，且越来越多地包含安全增强功能，我们预计未来将出现一种混合模式：对时间敏感或涉及安全关键的更新将通过LTE/蜂窝网络推送，而体积较大或非关键的更新则仅通过Wi-Fi提供。这将需要更周密的规划，以应对这种新混合模式带来的复杂性。
管理海量更新数据 / 增量更新
OTA更新的大小本身就是一个重要因素，因为无线数据传输成本可能相当高。通过LTE网络以“蛮力”方式将整个软件有效载荷通过无线方式传输的方案成本过高，但某些更新可能不得不采用这种方式。仅发送当前版本的变更部分（即“增量”）等方法，可能是减少数据流量的一种途径。但这些方法需要对当前软件建立一个详细的模型，以便理解更新的基线。
压缩对于减小数据有效载荷大小也至关重要。压缩技术的进步可以进一步减小传输数据量，但可能需要进行调整，以适应各种不同的数据特征——因为并非所有数据特征都能通过同一种算法获得同样理想的压缩效果。
应对失败
故障管理同样至关重要。该领域的领先企业已经采用了A/B分区等方法，以确保能够维持故障转移镜像，或者防止更新失败导致车辆系统受损。但这些方法需要主动管理，并进一步增加了更新的复杂性。