OTA正在成為智能汽車不可或缺的關(guān)鍵能力，其具備的減少召回成本、快速響應(yīng)安全需求、提升用戶體驗(yàn)等優(yōu)勢(shì)，可以通過(guò)遠(yuǎn)程實(shí)現(xiàn)功能的持續(xù)迭代，在發(fā)現(xiàn)軟件故障或漏洞的時(shí)候，及時(shí)快速地實(shí)現(xiàn)線上召回，極大地減少車企線下服務(wù)壓力和運(yùn)營(yíng)成本。

然而“OTA升級(jí)”這件事情本身，也不是那么容易的事情，部分新勢(shì)力造車因升級(jí)在路上“趴窩”的事情也不在少數(shù)。隨著汽車智能化的發(fā)展，主機(jī)廠以及消費(fèi)者對(duì)OTA的期待不斷上升，為了給車主更好的升級(jí)體驗(yàn)，很多主機(jī)廠宣布實(shí)現(xiàn)“無(wú)感化”O(jiān)TA升級(jí)。2021廣州車展上，小鵬汽車發(fā)布了最新一代的 X-EEA3.0 電子電氣架構(gòu)。該電子電氣架構(gòu)的域控制器均作內(nèi)存分區(qū)，一個(gè)區(qū)用于升級(jí)，一個(gè)區(qū)用于車輛正常運(yùn)行，從而在升級(jí)期間不影響車輛使用，實(shí)現(xiàn)了無(wú)感化OTA;威馬EX5發(fā)布實(shí)現(xiàn)了娛樂(lè)系統(tǒng)的無(wú)感OTA，在升級(jí)過(guò)程中，對(duì)用戶駕駛體驗(yàn)的影響可以降到最低;福特EVOS擁有了遠(yuǎn)程OTA無(wú)感升級(jí)的能力，激起了不少汽車迷的好奇心。相對(duì)不打擾用戶的情況下，讓車端軟件實(shí)現(xiàn)近乎無(wú)感的升級(jí)，無(wú)感升級(jí)技術(shù)是怎樣做到的?今天我們來(lái)聊一聊無(wú)感知升級(jí)這件事。

1、什么是無(wú)感升級(jí)?

“無(wú)感知升級(jí)”，目前沒(méi)有專業(yè)的學(xué)術(shù)定義。要想理解“無(wú)感知升級(jí)”，可以從“無(wú)縫升級(jí)”入手。所謂的“無(wú)縫升級(jí)”，英文即seamless update。這個(gè)概念，在Android領(lǐng)域有廣泛的共同認(rèn)知。我們可以這么理解：傳統(tǒng)的安卓設(shè)備升級(jí)，有一個(gè)Android主系統(tǒng)和一個(gè)Recovery系統(tǒng)。Android主系統(tǒng)負(fù)責(zé)提供系統(tǒng)主要的應(yīng)用功能 ，并完成升級(jí)包的下載與部分校驗(yàn)工作，然后進(jìn)入Recovery系統(tǒng)，在Recovery系統(tǒng)內(nèi)完成對(duì)系統(tǒng)的升級(jí)。但是，這里存在的問(wèn)題就是，一旦Recovery系統(tǒng)內(nèi)升級(jí)出現(xiàn)問(wèn)題，就會(huì)導(dǎo)致系統(tǒng)存在不可用的風(fēng)險(xiǎn)。解決方案之一就是引入A/B系統(tǒng)。可以這樣理解，設(shè)備具備A/B兩個(gè)系統(tǒng)，在同一個(gè)時(shí)刻，只有一個(gè)系統(tǒng)處于激活正常工作的狀態(tài)，另一個(gè)系統(tǒng)處于非激活的工作狀態(tài)。假設(shè)當(dāng)前A系統(tǒng)處于激活態(tài)。這樣，如果系統(tǒng)性能良好，我們可以實(shí)現(xiàn)在A系統(tǒng)正常提供各種應(yīng)用功能的情況下，去升級(jí)B系統(tǒng)。即使B系統(tǒng)升級(jí)失敗，也不會(huì)影響A系統(tǒng)正常提供功能。然后在合適的時(shí)機(jī)，例如跟隨整車電源模式切換而重置設(shè)備，切換至新的升級(jí)成功的B系統(tǒng)。A/B系統(tǒng)切換方式，從用戶使用的感受來(lái)看，僅經(jīng)歷了一次重啟。在重啟過(guò)程中即完成了軟件系統(tǒng)升級(jí)，被定義為“無(wú)縫升級(jí)”，這也是部分主機(jī)廠“無(wú)感知升級(jí)”的基礎(chǔ)實(shí)現(xiàn)模式。

2、無(wú)感升級(jí)的過(guò)程

車輛OTA遠(yuǎn)程升級(jí)一般包含“版本檢查”、“下載”、“安裝”和“激活”四大流程?！盁o(wú)感下載”：如果車輛自動(dòng)與OTA后臺(tái)進(jìn)行版本比對(duì)、獲取升級(jí)任務(wù)、并自動(dòng)完成下載，因此用戶對(duì)“下載無(wú)感知”?！盁o(wú)感安裝“：A/B系統(tǒng)切換的過(guò)程(從A更新至B系統(tǒng)的過(guò)程)，這一過(guò)程是在車輛運(yùn)行時(shí)執(zhí)行完成的，因此用戶對(duì)OTA遠(yuǎn)程“安裝無(wú)感知”。最后，車輛重新上電時(shí)，設(shè)備完成系統(tǒng)切換(這期間就涉及到需要客戶授權(quán)、確認(rèn)升級(jí)等)，這一過(guò)程是激活過(guò)程，這一過(guò)程是能感知到的過(guò)程?？梢?jiàn)，對(duì)具備“無(wú)縫升級(jí)”能力的設(shè)備升流程而言，用戶能感知到的過(guò)程，僅為新軟件系統(tǒng)“激活”的過(guò)程。耗時(shí)可能達(dá)數(shù)十分鐘的B系統(tǒng)切換?！盁o(wú)感升級(jí)”，可以大大縮短集成了復(fù)雜功能的域控設(shè)備的車輛用戶可感知的升級(jí)時(shí)間，減小了駐車升級(jí)時(shí)對(duì)車輛電量的消耗、縮短了客戶的車輛不可用時(shí)間，也保證了系統(tǒng)本身始終的可用性。

3、無(wú)感升級(jí)的應(yīng)用

目前，我們看到的“無(wú)感升級(jí)”，還局限于具有Linux、Android等系統(tǒng)的設(shè)備。這些設(shè)備系統(tǒng)，在支持“無(wú)縫升級(jí)”的能力之后，就需要去考慮如何在保證設(shè)備可正常提供功能的情況下，實(shí)現(xiàn)對(duì)非激活系統(tǒng)的更新。事實(shí)上，“無(wú)縫升級(jí)”已經(jīng)在很多車機(jī)系統(tǒng)、ADAS系統(tǒng)上都獲得了支持，只不過(guò)當(dāng)前很多主機(jī)廠仍是在車輛駐車后，去執(zhí)行對(duì)B區(qū)域的更新。而“無(wú)縫升級(jí)”向“無(wú)感升級(jí)”的跨越，即是在車輛運(yùn)行時(shí)執(zhí)行完成B系統(tǒng)的升級(jí)過(guò)程，這對(duì)設(shè)備系統(tǒng)的性能與安全性也提出了一定要求。目前市場(chǎng)上多數(shù)案例還是集中體現(xiàn)在座艙域。隨著整車電子架構(gòu)向域控架構(gòu)、區(qū)域控制架構(gòu)演進(jìn)，核心的控制設(shè)備，逐漸都會(huì)引入“無(wú)縫升級(jí)”能力。未來(lái)，為了追求更短的整車升級(jí)時(shí)間、為客戶提供更好的升級(jí)與功能使用體驗(yàn)，也會(huì)成為大家追求的一個(gè)技術(shù)方向。

4、無(wú)感升級(jí)在SOTA和FOTA上有什么區(qū)別?

對(duì)于SOTA、FOTA的定義可以籠統(tǒng)的理解為：SOTA指系統(tǒng)“軟件”層面的升級(jí)，即不影響設(shè)備系統(tǒng)運(yùn)行環(huán)境本身，可以在系統(tǒng)持續(xù)提供業(yè)務(wù)功能的情況下，完成對(duì)“軟件”的升級(jí)。例如車機(jī)上的各類Android應(yīng)用軟件。而FOTA指系統(tǒng)的“固件”升級(jí)，即影響設(shè)備系統(tǒng)本身，“固件”的損壞會(huì)導(dǎo)致系統(tǒng)主體功能不可用。在SOTA層面，“無(wú)感升級(jí)”目前得到了較多的應(yīng)用，這是由Android等系統(tǒng)本身的系統(tǒng)特性，所帶來(lái)的優(yōu)勢(shì)。一般在經(jīng)歷應(yīng)用本身重啟，或者跟隨系統(tǒng)一起重啟之后，新的軟件版本即可被激活使用。而在FOTA層面，除了需要實(shí)現(xiàn)針對(duì)域控等智能設(shè)備從“無(wú)縫升級(jí)”向“無(wú)感升級(jí)”的跨越，另一個(gè)不可忽視的就是傳統(tǒng)的電子控制單元ECU的“無(wú)感升級(jí)”。對(duì)于這一類ECU，一般包含Bootloader，Application與Calibration。Bootloader提供了ECU刷寫軟件與標(biāo)定的能力。一方面，受限于成本考量等因素，ECU一般不會(huì)具備“A/B”區(qū)域環(huán)境，即升級(jí)時(shí)，需要將軟件與標(biāo)定擦除，然后重新寫入;另一方面，這類ECU一般是通過(guò)CAN或以太網(wǎng)總線使用診斷的方式進(jìn)行刷寫，即數(shù)據(jù)包的傳輸與寫入是在同一時(shí)間段內(nèi)反復(fù)執(zhí)行的，為了保證刷寫的成功率、提升診斷數(shù)據(jù)傳輸效率，需要靜默車輛總線常規(guī)通信信號(hào)，這會(huì)導(dǎo)致整車零件之間丟失通信基礎(chǔ)，眾多功能無(wú)法使用。因此，這一類ECU的升級(jí)，往往需要駐車、鎖定車輛狀態(tài)、進(jìn)入特定的OTA升級(jí)模式等，即車輛在升級(jí)過(guò)程中是無(wú)法使用的，升級(jí)過(guò)程對(duì)于車輛用戶而言是“有感”的。想要讓此類ECU的升級(jí)行為也變得“無(wú)感”，一方面需要解決數(shù)據(jù)包的傳輸問(wèn)題，另一方面，ECU本身要支持類似于“A/B”的系統(tǒng)特性，提供備份冗余，或者實(shí)現(xiàn)軟件內(nèi)容A/B區(qū)域的地址映射。雖然技術(shù)上，已經(jīng)有芯片提供了成熟的解決方案，但是在“缺芯”的大環(huán)境背景下，價(jià)格問(wèn)題更加凸顯，應(yīng)用的進(jìn)展較慢。所以一方面我們看到宣傳支持“無(wú)感升級(jí)”的車輛，整車升級(jí)時(shí)間，仍需要30分鐘左右。其實(shí)就是節(jié)省了具備“無(wú)縫升級(jí)”能力的設(shè)備的B系統(tǒng)升級(jí)時(shí)間，但是FOTA時(shí)常規(guī)ECU進(jìn)入Bootloader的時(shí)間暫時(shí)仍會(huì)拉長(zhǎng)整體的升級(jí)時(shí)間。另一方面，車輛制造商短期內(nèi)，要善用“時(shí)間”換“空間”。即提供預(yù)約升級(jí)、手機(jī)遠(yuǎn)控升級(jí)等方式，將升級(jí)時(shí)間安排在用戶不用車的時(shí)間段內(nèi)，節(jié)省引入設(shè)備額外存儲(chǔ)空間的成本，緩解車輛升級(jí)時(shí)不可用可能給客戶帶來(lái)的用車焦慮。

最后

“無(wú)感升級(jí)”的實(shí)現(xiàn)，依賴零部件自身需要具備“無(wú)縫升級(jí)”的能力。針對(duì)具備“無(wú)縫升級(jí)”的零件，艾拉比的差分升級(jí)程序，支持“In Place”與“A/B”兩種升級(jí)模式。無(wú)論是Hypervisor架構(gòu)下的QNX + Android系統(tǒng)，還是Android系統(tǒng)的動(dòng)態(tài)分區(qū)特性，都能得到良好的支持。另外，從整車OTA解決方案來(lái)看，艾拉比一方面支持為具備“無(wú)感升級(jí)”的零件，設(shè)定獨(dú)立的升級(jí)過(guò)程，保證升級(jí)無(wú)感、安全地執(zhí)行，另一方面也支持為不具備“無(wú)感升級(jí)”的零件，提供并行刷新、回滾等升級(jí)策略，保證升級(jí)成功率、提升升級(jí)效率。

審核編輯：湯梓紅