安全領(lǐng)域，無(wú)論是主動(dòng)的還是被動(dòng)的，都比汽車行業(yè)的幾乎任何其他領(lǐng)域都發(fā)展得更快，高級(jí)駕駛輔助系統(tǒng)（ADAS）的強(qiáng)勁增長(zhǎng)以及所有主要原始設(shè)備制造商對(duì)自動(dòng)駕駛的大量投資。

這些新功能具有一些共同特征：

- 他們使用多個(gè)傳感器，利用各種技術(shù)來(lái)識(shí)別汽車周圍的世界

- 他們?yōu)轳{駛員控制車輛（包括制動(dòng)、轉(zhuǎn)向和加速）

- 他們使用復(fù)雜的算法來(lái)捕捉現(xiàn)實(shí)生活中學(xué)到的東西

這使得它們非常適合通過(guò)無(wú)線 （OTA） 更新進(jìn)行更新，但是，今天安全領(lǐng)域通常不是 OTA 可更新的。

管理多個(gè)設(shè)備更新

ADAS功能通常需要將傳感器與中央發(fā)動(dòng)機(jī)控制單元（ECU）相結(jié)合的復(fù)雜系統(tǒng)來(lái)分析數(shù)據(jù)并做出決策，以及智能機(jī)電一體化以將其轉(zhuǎn)化為行動(dòng)。

這種復(fù)雜的設(shè)置將重點(diǎn)放在配置管理上。OEM 通常會(huì)在質(zhì)量保證和測(cè)試上花費(fèi)大量時(shí)間和資源，以確保多個(gè)設(shè)備的給定配置能夠正常運(yùn)行。

當(dāng)需要OTA更新時(shí)，有必要保持系統(tǒng)配置的完全一致性。這意味著有必要從一個(gè)已知、經(jīng)過(guò)測(cè)試和完全驗(yàn)證的狀態(tài)移動(dòng)到下一個(gè)狀態(tài)。最終使用處于替代狀態(tài)的各種設(shè)備的混合配置是不可接受的，因?yàn)檫@永遠(yuǎn)不會(huì)通過(guò)測(cè)試。

考慮一個(gè)具有兩個(gè)攝像頭和一個(gè)雷達(dá)的示例（圖 1）。如果攝像頭更新順利，但雷達(dá)更新失敗，則必須將整個(gè)ADAS子系統(tǒng)恢復(fù)到上一個(gè)已知、測(cè)試和驗(yàn)證的狀態(tài)。

圖 1：在使用 OTA 管道更新 ADAS 或安全系統(tǒng)域之前，必須確保多個(gè)設(shè)備之間依賴關(guān)系的完整性。

這是更新 ADAS 域的關(guān)鍵要求。必須有機(jī)制將多個(gè)設(shè)備和子系統(tǒng)的更新組合在一起，并將分組更新視為單個(gè)事務(wù)，即成功，或者如果不成功，則一起恢復(fù)到以前的狀態(tài)。

更新策略控制

更新安全裝置需要格外注意。例如，雖然地圖可以在車輛行駛時(shí)更新，但在車輛行駛時(shí)更新制動(dòng)ECU是不可接受的。在制動(dòng)ECU的情況下，我們僅在車輛處于速度為0，發(fā)動(dòng)機(jī)關(guān)閉且駐車制動(dòng)器或變速箱鎖定打開(kāi)的狀態(tài)時(shí)安裝更新。這意味著 OEM 需要定義策略來(lái)設(shè)置啟動(dòng)更新的條件。..用于整車或單個(gè)設(shè)備。

策略創(chuàng)建可以是手動(dòng)的，但是當(dāng)生命受到威脅時(shí)，我們還需要在設(shè)備中內(nèi)置一種機(jī)制來(lái)建立更新關(guān)鍵ECU的策略，以便ECU確保在開(kāi)始更新之前滿足絕對(duì)最少數(shù)量的先決條件。

這是使用代理概念的一個(gè)明確且令人信服的案例，其中安全相關(guān)的策略安裝在ECU中，并始終如一地遵循該ECU的更新。..無(wú)論車輛型號(hào)或 OTA 管理員的培訓(xùn)或關(guān)注程度如何。

最后，安全域中的單個(gè)ECU可能不知道駕駛員與駕駛艙用戶界面的交互。例如，驅(qū)動(dòng)程序是否授予啟動(dòng)更新的權(quán)限？是否通知駕駛員剎車處于更新中，并且駕駛員此時(shí)不得啟動(dòng)汽車并開(kāi)車？標(biāo)準(zhǔn)化通過(guò)提供一致的 API 來(lái)幫助車輛的 HMI 使用。

總體而言，全行業(yè)的標(biāo)準(zhǔn)化將有助于確保高效、安全地處理安全關(guān)鍵設(shè)備的 OTA 更新，而 eSync 等雙向管道可提供所需的數(shù)據(jù)傳輸機(jī)制。

審核編輯：郭婷