武艷俊

基于標準化和流程化的汽車軟件升級管理

武艷俊

Wu Yanjun

（北京新能源汽車股份有限公司，北京102600）

汽車智能化及網(wǎng)聯(lián)化的不斷普及使整車端OTA（Over the Air Technology，遠程升級技術）成為必須，軟件升級過程中須確認升級包的真實性、完整性和安全性，并核實車端信息，保證OTA升級順利完成。須依據(jù)相關法規(guī)和標準對OTA升級過程進行管理，構建標準化和流程化的管理體系，包括升級包的整體開發(fā)和編制，通過標準化管理確保OTA升級過程安全、合規(guī)和防篡改。采用標準化和流程化的管理方式，可以逐步優(yōu)化現(xiàn)有系統(tǒng)，縮短升級包的編制和準備周期，實現(xiàn)客戶高滿意度。

軟件升級；智能網(wǎng)聯(lián)；流程；標準

0　引言

隨著互聯(lián)網(wǎng)及智能設備的普及，網(wǎng)絡與汽車的結合越來越緊密，智能化系統(tǒng)逐漸成為汽車標配，不僅滿足出行需求，也改善了駕乘便捷性和舒適性。智能網(wǎng)聯(lián)汽車通常包括智能駕駛、智能網(wǎng)聯(lián)和智能座艙3個部分，其中智能駕駛是通過感知、認知、決策、控制和執(zhí)行等實現(xiàn)車輛的輔助或自動駕駛，智能網(wǎng)聯(lián)是實現(xiàn)車與車、車與互聯(lián)網(wǎng)及云端平臺、車與路甚至車與人等多方位聯(lián)通，智能座艙是實現(xiàn)車與駕駛員及其他乘員的深度交互[1]。

整車智能網(wǎng)聯(lián)系統(tǒng)除了能夠為乘員提供智能化操作界面和功能外，還可以完成自身車載端OTA（Over the Air Technology，遠程升級技術）。車端OTA升級類似手機系統(tǒng)升級，通過網(wǎng)絡下載升級包，之后解碼運行，一方面實現(xiàn)包括系統(tǒng)升級、固件升級等多種升級模式，主要對現(xiàn)有硬件所匹配的軟件系統(tǒng)進行優(yōu)化升級，以提升性能或改正存在的問題；另一方面可以激活已有固件，提升配置服務，安裝新的軟件，對車載端多媒體或?qū)Ш较到y(tǒng)提供數(shù)據(jù)升級等。OTA升級由駕駛員自行完成不需回廠，既節(jié)約時間，又提升了車輛智能化水平。

1　OTA發(fā)展及特點

隨著整車智能化程度加深以及對系統(tǒng)優(yōu)化升級需求不斷提升，OTA技術成為整車企業(yè)研發(fā)的重點之一。目前，有車企已為旗下各車型累計完成近千次OTA推送，涉及車載娛樂系統(tǒng)、輔助駕駛功能、動力電池管理、車輛加速制動等，以及問題的優(yōu)化和修補等。國內(nèi)外多家車企已對旗下車型進行了若干次OTA升級，主要用于提升整車功能以及車載娛樂、導航系統(tǒng)的優(yōu)化升級。

OTA升級可以在線修復整車中部分軟硬件系統(tǒng)問題，降低車企召回成本并節(jié)省時間；此外，通過OTA升級可以在現(xiàn)有車機系統(tǒng)中增加新功能，提升系統(tǒng)智能化程度，改善車輛使用便捷性，不斷滿足客戶新的需求；OTA是車企售后與客戶互動交流的窗口與通道，使車企的傳統(tǒng)產(chǎn)業(yè)鏈延伸至售后服務端，實現(xiàn)研發(fā)與售后對接。傳統(tǒng)的用戶反饋模式只能夠了解客戶需求，OTA針對用戶反饋可以進行及時更新和優(yōu)化，使客戶體驗持續(xù)升級。

OTA升級過程需要注意很多問題，信息安全是首要問題，OTA通過互聯(lián)網(wǎng)連接車載終端，此過程需要設定冗余解決方案并對相關信息進行加密，避免出現(xiàn)傳輸故障、解析故障以及外界干擾[2]。整車系統(tǒng)升級關系到道路交通安全和人身安全，不允許存在漏洞的系統(tǒng)上車運行，須對升級方案進行備案和管理，避免出現(xiàn)系統(tǒng)缺陷或造成安全事故。目前，各國出臺了相關政策，規(guī)范OTA升級的相關要素和流程，車企須根據(jù)政策要求對OTA升級進行系統(tǒng)管理。

2　OTA相關規(guī)定

為了保證OTA升級合規(guī)和安全，各國都在積極推進相關規(guī)定和標準的制定。2020年6月聯(lián)合國世界汽車發(fā)展協(xié)調(diào)論壇（UN/ECE/WP29）發(fā)布了《關于軟件升級和軟件升級管理系統(tǒng)的汽車型式批準統(tǒng)一規(guī)定》（R156），要求使用“軟件識別碼”進行版本管理，該規(guī)定自2021年1月起正式生效，目前日本和歐盟積極響應并遵照執(zhí)行。自2020年起，我國國家市場監(jiān)督管理總局及工信部陸續(xù)出臺針對汽車軟件升級的監(jiān)管政策，包括《關于進一步加強汽車OTA技術召回監(jiān)管的通知》《關于開展汽車軟件在線升級備案的通知》《關于加強智能網(wǎng)聯(lián)汽車生產(chǎn)企業(yè)及產(chǎn)品準入管理的意見》等，2022年6月，工信部就組織修訂的《汽車軟件升級通用技術要求》（征求意見稿）強制性國家標準向社會公開征求意見[3]。

《汽車軟件升級通用技術要求》（征求意見稿）的發(fā)布標志著汽車軟件升級逐步進入國家強制性標準及國家備案監(jiān)管規(guī)范化的新階段。《汽車軟件升級通用技術要求》（征求意見稿）一共涉及9部分內(nèi)容，包括線下和在線等所有技術方案的軟件升級方式，要求構建針對OTA的管理體系，確保升級過程全流程管理和滿足信息記錄、留存、安全等重點要求，對車輛和試驗方式進行了明確定義，保證車輛能夠準確、迅速、安全地收到、識別并解析升級包，同時每一次升級前均要求進行逐項測試驗證，對于車輛車型擴展所涉及到的申報和應急狀態(tài)下的應對措施和冗余措施也給予了明確要求。

OTA相關規(guī)范和標準的實施是保證車端安全的基礎，同時對車企提出了全新要求。OTA升級涉及整車各個部件和系統(tǒng)，需要各部門協(xié)同完成，需要在OTA管理體系框架內(nèi)構建流程化、標準化操作方法，各部門按照統(tǒng)一規(guī)范梳理并準備相關升級文件，安全有序可靠地實現(xiàn)OTA升級。

3　管理要求及關鍵要素

3.1　標準化管理體系建設

標準化的OTA管理體系建設是后續(xù)升級的保障和基礎，針對《汽車軟件升級通用技術要求》（征求意見稿）的要求，制定OTA開發(fā)管理辦法、測試管理辦法和遠程升級管理辦法，同時對研發(fā)和售后各環(huán)節(jié)的記錄與備案表等進行梳理，增加升級的準備和實施記錄[4]。

為了將管理體系融入整車研發(fā)及制造的各個環(huán)節(jié)，將管理體系所涉及內(nèi)容與企業(yè)能力、產(chǎn)品公告進行融合，滿足全流程管理要求。管理體系中一般要求對應企業(yè)準入中的管理制度、標準規(guī)范和信息保存等內(nèi)容，同時與智能汽車準入中的軟件升級管理制度和軟件升級信息記錄等整合管理。

《汽車軟件升級通用技術要求》（征求意見稿）中的過程要求與備案過程中的管理流程和智能汽車準入時的軟件升級版本管理、目標車輛識別管理以及軟件升級影響評估等諸多內(nèi)容相對應，例如，識別目標車輛以及確認兼容性等要求與企業(yè)準入審查中目標車輛軟件識別及新舊版本信息一致性和兼容性相呼應[5]。

管理體系中一個重要環(huán)節(jié)是安全相關要求，特別是網(wǎng)絡安全。由于OTA升級采用公網(wǎng)傳輸數(shù)據(jù)，所以須采取必要的加密措施以確保OTA升級順利推進。

3.2　流程化開發(fā)與應用

整車OTA升級須在確認升級包真實性、完整性、安全性以及讀取版本信息的前提和基礎上依據(jù)流程進行，確認升級包真實、完整和安全是后續(xù)升級的初始條件，這需要車企基于車輛信息和要求對升級包進行多重確認，與擬升級的車輛進行信息核對[6]。

首先，升級前須確保車輛的信息、型號等滿足升級要求，車輛處于安全、靜止的狀態(tài)且整車電氣系統(tǒng)正常；通常，為了保證升級安全，要求車輛處于啟動狀態(tài)，須避免升級過程中出現(xiàn)蓄電瓶缺電。

其次，車輛升級過程中，須定時檢查車輛情況并與車機和系統(tǒng)確認，當升級過程中出現(xiàn)問題時，須及時啟動失敗引導等選項，杜絕因為升級失敗而使車輛無法正常運行的情況。此外，升級過程中為了保證乘員安全，須確認車輛處于停止狀態(tài)并且門鎖均已打開。

最后，升級結束后，須告知客戶目前信息狀態(tài)和成功升級提示，保證客戶已明確車輛情況。

車輛升級過程中，需要加強安全措施的實施，包括防失效保護機制、失敗后安全措施以及信息安全機制，這是為了更好地完成升級和應對突發(fā)情況。

3.3　標準化測試能力建設

OTA測試驗證過程中，采用OBD診斷儀及相關采集工具對升級包的完整性、真實性進行驗證，同時驗證升級包是否可以讀取、更新和安全防篡改等。重點開展功能符合性測試，包括用戶告知、用戶確認、先決條件、電量保障、車輛安全、駕駛安全、車門防鎖止、結果告知以及升級失敗處理試驗等[7]。目前大部分車企處于OTA初期推廣階段，因此缺少系統(tǒng)性測試分析過程以及對節(jié)能、環(huán)保、安全以及公告參數(shù)等的影響分析和解決方案，缺少對功能兼容性測試分析和安全防篡改測試評價，在后續(xù)OTA升級包準備和編寫過程中需要完善和加強標準化監(jiān)管。

需要加強整體在線升級測試驗證體系建設，對標尋找差距并結合標準法規(guī)的要求逐步充實完整，實現(xiàn)全面滿足監(jiān)管法規(guī)要求，使建立的體系可以兼容各自主平臺所開發(fā)的車型，包括在線升級測試規(guī)范與管理辦法，關鍵項升級識別方法和驗證規(guī)范，以及涉及信息安全的專項測試要求與規(guī)范。為了順利推進后續(xù)車型OTA升級，采用測試用例、影響分析模板和測試報告模板，規(guī)定各模板的填報要求，實現(xiàn)標準規(guī)范化輸出，便于后續(xù)核對和參考對照。

3.4　其他要求

車型變更擴展環(huán)節(jié)為了保證OTA升級能夠涵蓋并滿足不同衍生車型，對車企資質(zhì)和軟件升級技術狀態(tài)進行明確定義，需要驗證的內(nèi)容包括電控系統(tǒng)軟硬件型號、數(shù)量、版本，以及安全保護模式等，同時確認相關內(nèi)容的讀取和處理模式一致[8]。

車輛使用說明書須明確OTA相關環(huán)節(jié)的提示信息，包括軟件升級方法、升級過程的注意問題以及升級后的操作，列舉出升級中不同階段的注意事項，特別是升級結束后車輛出現(xiàn)控制失靈等異常情況，引導客戶進行正確判斷和處理，告知客戶第一時間與后臺服務人員取得聯(lián)系，避免產(chǎn)生嚴重后果。

4　結束語

OTA升級為車企和客戶雙方提供了高效便捷的解決方案，需要加強OTA升級過程中的安全和規(guī)范管理，建立規(guī)范編制、檢測、驗證和應急預案等全套管理體系，既響應更新的研發(fā)周期，又滿足客戶需求。

保證OTA合規(guī)化推進，重點構建軟件升級流程化管理體系，完善不同平臺車型的升級管理，以信息安全為核心開展安全方案設計，提升軟件系統(tǒng)測試驗證能力，打造專業(yè)化測試體系和平臺。流程化管理不僅可以保證OTA升級合規(guī)，還保證系統(tǒng)升級運行高效和便捷，為整車安全可靠運行和客戶高質(zhì)量體驗打好基礎。

[1]李克強，戴一凡，李升波，等. 智能網(wǎng)聯(lián)汽車（ICV）技術的發(fā)展現(xiàn)狀及趨勢[J].汽車安全與節(jié)能學報，2017，8（1）：1-14.

[2]施勇.車載終端系統(tǒng)遠程升級安全機制的研究與實現(xiàn)[D]. 石家莊：河北科技大學，2016.

[3]中華人民共和國工業(yè)和信息化部. 公開征求《汽車軟件升級通用技術要求》等九項強制性國家標準的意見[EB/OL]. (2022-06-17)[2022-08-03]. https：//www.miit.gov.cn/jgsj/zbys/qcgy/art/2022/art_c1878e 9460a74860a37bd3964436116d.html.

[4]高潔，汪慶.一種電動汽車軟件OTA升級服務平臺的設計方案[J]. 電腦知識與技術，2017，13（8）：209-211.

[5]張海強. 智能網(wǎng)聯(lián)汽車安全遠程升級技術的研究與實現(xiàn)[D]. 成都：電子科技大學，2018.

[6]郝鐵亮，葉平，郝成龍，等. 車聯(lián)網(wǎng)技術研究[J].汽車實用技術，2017（20）：141-143.

[7]張亞萍，劉華，李碧鈺，等.智能網(wǎng)聯(lián)汽車技術與標準發(fā)展研究[J]. 上海汽車，2015（8）：55-59.

[8]王蘭，郝成龍，許茜. 車載通信終端OTA升級方案[J].智能網(wǎng)聯(lián)汽車，2018（6）：11-12.

2022-08-29

1002-4581（2023）02-0039-03

U463.6

A

10.14175/j.issn.1002-4581.2023.02.010