王棟梁 湯利順 陳博 柳旭 劉闖

（中國(guó)第一汽車集團(tuán)有限公司智能網(wǎng)聯(lián)開(kāi)發(fā)院，長(zhǎng)春 130011）

主題詞：智能網(wǎng)聯(lián)汽車 整車OTA 差分算法 回滾重刷機(jī)制

1 前言

隨著汽車智能化、網(wǎng)聯(lián)化水平的不斷提升，汽車內(nèi)部電子控制單元的數(shù)量和復(fù)雜度不斷增加。據(jù)統(tǒng)計(jì)，目前高級(jí)轎車上電子電氣元件的成本已經(jīng)占到整車開(kāi)發(fā)成本的60%～70%，若要對(duì)電控單元軟件進(jìn)行開(kāi)發(fā)調(diào)試、數(shù)據(jù)標(biāo)定、文件更新、故障修復(fù)就需要遠(yuǎn)程應(yīng)用程序更新（Over the Air Technology，OTA）技術(shù)。2014年特斯拉首次面向中國(guó)推出V5.9版車載系統(tǒng)，目前已經(jīng)更新到V8.1版本，實(shí)現(xiàn)了對(duì)駕駛輔助系統(tǒng)、自動(dòng)泊車功能、空氣懸架系統(tǒng)、導(dǎo)航和地圖、影音娛樂(lè)系統(tǒng)等內(nèi)容的更新[1-2]。整車OTA技術(shù)在車輛量產(chǎn)后可降低車輛的召回成本，實(shí)現(xiàn)對(duì)車輛軟件和車輛數(shù)據(jù)的統(tǒng)一管理，提高售后服務(wù)的效率和質(zhì)量；為用戶提供車載娛樂(lè)系統(tǒng)的增值服務(wù)，有效提升用戶體驗(yàn)和用戶黏貼度；通過(guò)車輛軟件的快速更新迭代，特別是優(yōu)化和加強(qiáng)駕駛輔助功能，實(shí)現(xiàn)整車系統(tǒng)的不斷升級(jí)，讓用戶獲得更優(yōu)質(zhì)的行車體驗(yàn)。本文提出一種基于整車Ethernet/CAN/LIN混合電子電氣架構(gòu)，建立云服務(wù)器端-車輛客戶端之間安全、穩(wěn)定、可靠連接通路的控制器軟件升級(jí)方案，以實(shí)現(xiàn)整車上信息娛樂(lè)系統(tǒng)、動(dòng)力傳動(dòng)系統(tǒng)、車身舒適系統(tǒng)等所有控制器不同類型節(jié)點(diǎn)的在線更新。

2 OTA系統(tǒng)架構(gòu)

整車OTA系統(tǒng)包括云服務(wù)器端和車輛客戶端[3]，它們之間通過(guò)4G或Wifi進(jìn)行數(shù)據(jù)通信。云服務(wù)器端和車輛客戶端采用一對(duì)多的方式，云服務(wù)器端為部署在數(shù)據(jù)中心的私有云服務(wù)平臺(tái)，僅借助于公有云的CDN（內(nèi)容分發(fā)技術(shù)）來(lái)實(shí)現(xiàn)位于不同區(qū)域的不同車輛同時(shí)更新，圖1為OTA系統(tǒng)架構(gòu)。

2.1 云服務(wù)器端

2.1.1 硬件系統(tǒng)

云服務(wù)器端集群是建設(shè)在數(shù)據(jù)中心防火墻內(nèi)的私有云平臺(tái)，由1臺(tái)負(fù)載均衡服務(wù)器、6臺(tái)Swarm服務(wù)器、12臺(tái)Worker服務(wù)器、1臺(tái)帶主備功能的數(shù)據(jù)庫(kù)服務(wù)器和CDN分發(fā)服務(wù)器組成。負(fù)載均衡服務(wù)器負(fù)責(zé)大規(guī)模升級(jí)任務(wù)的分發(fā)，提高任務(wù)處理效率；18臺(tái)業(yè)務(wù)處理服務(wù)器對(duì)各升級(jí)任務(wù)進(jìn)行具體處理并直接進(jìn)行云端和車端的信息交互；數(shù)據(jù)庫(kù)服務(wù)器存儲(chǔ)所有升級(jí)文件以及車輛軟件信息，實(shí)時(shí)存儲(chǔ)車輛升級(jí)狀態(tài)；CDN服務(wù)器利用公有云輻射全國(guó)的資源，實(shí)現(xiàn)全國(guó)各地車輛的任務(wù)升級(jí)。云端服務(wù)器架構(gòu)如圖2所示。

圖1 OTA系統(tǒng)架構(gòu)

圖2 云端服務(wù)器架構(gòu)

2.1.2 軟件系統(tǒng)

云服務(wù)器端部署有一套完整的信息存儲(chǔ)系統(tǒng)用來(lái)存儲(chǔ)所有量產(chǎn)車輛的信息，包括車型、車系、車輛配置、VIN碼、車輛EOL日期、T-Box序列號(hào)等。在這些信息的基礎(chǔ)上，增加對(duì)車輛控制器更新?tīng)顟B(tài)的描述，這樣實(shí)現(xiàn)對(duì)每輛車更新歷史足跡的記錄，根據(jù)每輛車的更新?tīng)顟B(tài)還可以對(duì)每次升級(jí)任務(wù)的過(guò)程和成功率進(jìn)行統(tǒng)計(jì)。

OTA云端系統(tǒng)具備文件管理和升級(jí)任務(wù)部署的功能。文件管理系統(tǒng)實(shí)現(xiàn)了不同車型車系的車輛上所有控制器軟件的版本管理?？刂破鬈浖贠TA系統(tǒng)中需進(jìn)行功能驗(yàn)證、簽名、加密等操作，然后與信息存儲(chǔ)系統(tǒng)中量產(chǎn)車輛的信息實(shí)現(xiàn)唯一對(duì)應(yīng)，保證升級(jí)軟件精準(zhǔn)的下發(fā)。升級(jí)任務(wù)部署系統(tǒng)主要是對(duì)需升級(jí)的軟件進(jìn)行配置，選擇需升級(jí)的車輛，設(shè)置升級(jí)任務(wù)的時(shí)間，升級(jí)任務(wù)的策略等。任務(wù)部署完成后，利用餅圖和直方圖來(lái)實(shí)時(shí)記錄和顯示任務(wù)進(jìn)行的過(guò)程和任務(wù)完成的百分比，每次任務(wù)結(jié)束后還會(huì)自動(dòng)生成任務(wù)報(bào)告，對(duì)此次任務(wù)進(jìn)行分析并對(duì)升級(jí)中的問(wèn)題進(jìn)行解決。

2.2 車輛客戶端

車輛客戶端架構(gòu)如圖3所示，采用目前主流的多種總線Ethernet/CAN/LIN融合并存、網(wǎng)關(guān)路由通信中樞的方式，不同總線完成不同的場(chǎng)景應(yīng)用。在實(shí)際應(yīng)用中，網(wǎng)關(guān)和車載通信單元集成在一起，作為一個(gè)中央網(wǎng)關(guān)控制單元。升級(jí)所必須的模塊主要包括遠(yuǎn)程通信模塊、文件下載模塊、差分還原模塊和更新策略模塊。

a.遠(yuǎn)程通信模塊。該模塊實(shí)現(xiàn)與云服務(wù)器端的通信，完成升級(jí)任務(wù)數(shù)據(jù)和差分文件的下載，支持蜂窩通信、WLAN通信及斷點(diǎn)續(xù)傳功能。

b.文件下載模塊。該模塊在云端和云端安全認(rèn)證的基礎(chǔ)上，根據(jù)文件下載鏈接，接收軟件并解密和驗(yàn)證其完整性。

c.差分還原模塊。該模塊依據(jù)遠(yuǎn)程接收的差分文件和目前車內(nèi)的舊版軟件，以及云端所使用的差分算法完成新版軟件的還原。

d.更新策略模塊。該模塊完成下載過(guò)程中車輛狀態(tài)的判斷與核查，只有在所有的限制條件均不滿足時(shí)，才可以啟動(dòng)升級(jí)流程。

車輛客戶端通信協(xié)議架構(gòu)如圖3所示，上層標(biāo)準(zhǔn)協(xié)議接口層采用UDS診斷協(xié)議，協(xié)議包含數(shù)據(jù)上傳和下載的標(biāo)準(zhǔn)服務(wù)，不需要開(kāi)發(fā)專用數(shù)據(jù)交互協(xié)議[3]；下層依據(jù)協(xié)議的不同采用不同的國(guó)際標(biāo)準(zhǔn)。

圖3 車輛客戶端通信協(xié)議

2.3 OTA升級(jí)流程

整個(gè)OTA升級(jí)過(guò)程如圖4所示。

圖4 OTA升級(jí)流程

a.文件上傳和部署。升級(jí)軟件先線下進(jìn)行刷寫(xiě)測(cè)試，刷寫(xiě)成功后上傳到云端系統(tǒng)。云端系統(tǒng)對(duì)升級(jí)軟件進(jìn)行加密，通過(guò)集成的差分算法對(duì)文件進(jìn)行差分生成二進(jìn)制差分文件。在此文件基礎(chǔ)上添加升級(jí)策略、升級(jí)標(biāo)識(shí)等信息到配置文件，組成一個(gè)完整的ZIP格式壓縮包，并選擇升級(jí)車輛范圍、升級(jí)時(shí)間，完成升級(jí)軟件在云端的部署。

b.遠(yuǎn)程下載。在升級(jí)任務(wù)有效的時(shí)間段內(nèi)，每次車輛上電會(huì)與云端建立連接，云端對(duì)車輛內(nèi)部所有控制器軟件版本進(jìn)行收集，與云端任務(wù)的控制器軟件版本比較，若存在新版本，云端會(huì)將升級(jí)軟件下發(fā)到車端，文件傳輸使用HTTPS協(xié)議保證文件的安全性。整個(gè)下載過(guò)程支持?jǐn)帱c(diǎn)續(xù)傳。

c.用戶通知和確認(rèn)。云端和車端建立連接之后，云端會(huì)實(shí)時(shí)監(jiān)控車輛狀態(tài)，確認(rèn)用戶在使用車輛后，將更新信息推送到IVI的HMI（帶有免責(zé)聲明、安裝條件、注意事項(xiàng)）。如果用戶沒(méi)有點(diǎn)擊更新，下次車輛上電后會(huì)繼續(xù)通知升級(jí)信息。

d.本地刷寫(xiě)。升級(jí)文件下載到本地后，車輛會(huì)判斷車輛條件是否滿足升級(jí)要求，若滿足，車輛就會(huì)對(duì)升級(jí)文件對(duì)應(yīng)的控制器進(jìn)行升級(jí)。網(wǎng)關(guān)和IVI使用自升級(jí)方式進(jìn)行升級(jí)，網(wǎng)關(guān)下各路ECU由網(wǎng)關(guān)作為診斷儀進(jìn)行刷寫(xiě)。

3 OTA關(guān)鍵技術(shù)

3.1 差分算法

差分算法是指在云服務(wù)器端比較新、舊版本之間的差異生成差分delta文件，然后將該文件傳輸?shù)杰囕v客戶端，車輛客戶端根據(jù)接收到的差分delta文件和舊版文件還原成新版文件[4]，如圖5所示。圖5中，O代表舊版文件，N代表新版文件，D代表差分文件。因差分del?ta文件的大小遠(yuǎn)小于源文件，所以有利于無(wú)線傳輸，同時(shí)節(jié)省流量，提升整個(gè)傳輸過(guò)程的可靠性和經(jīng)濟(jì)性。

圖5 差分算法原理

車輛控制器大部分文件程序很小，不需要使用差分算法進(jìn)行更新。差分算法主要應(yīng)用在娛樂(lè)信息系統(tǒng)的應(yīng)用程序升級(jí)和車載地圖的更新。結(jié)合娛樂(lè)信息系統(tǒng)的軟件特點(diǎn)、文件格式以及車內(nèi)端的更新方式，定義了3種指令來(lái)實(shí)現(xiàn)對(duì)新、舊版本軟件差異的描述[5]。

a.Data命令。當(dāng)新、舊版本軟件數(shù)據(jù)內(nèi)容完全不同時(shí)需要采用此指令，該指令說(shuō)明將有新的數(shù)據(jù)生成。指令后面跟隨的數(shù)據(jù)包括地址信息、數(shù)據(jù)長(zhǎng)度和更新的數(shù)據(jù)內(nèi)容，如Data 0x1000 0x02 0x0102表示在舊版本軟件中起始地址為0x1000的后面進(jìn)行數(shù)據(jù)更新，更新數(shù)據(jù)長(zhǎng)度為2個(gè)字節(jié)，更新的數(shù)據(jù)內(nèi)容為0102。

b.Copy命令。當(dāng)新、舊模塊之間的數(shù)據(jù)內(nèi)容相同而只是地址發(fā)生偏移時(shí)需要采用此命令，這種現(xiàn)象在標(biāo)定變量及可變參數(shù)軟件中是經(jīng)常發(fā)生的。指令后面跟隨的數(shù)據(jù)包括舊版本的首地址、新版本更新地址和復(fù)制的數(shù)據(jù)長(zhǎng)度，如Copy 0x1000 0x2000 0x02表示將舊版本軟件中起始地址為0x1000、數(shù)據(jù)長(zhǎng)度為2個(gè)字節(jié)的數(shù)據(jù)復(fù)制到新版本軟件中起始地址為0x2000、數(shù)據(jù)長(zhǎng)度為2個(gè)字節(jié)的位置。

c.End命令。該指令用來(lái)描述文件的結(jié)束。

圖6為一個(gè)標(biāo)準(zhǔn)的差分文件的生成過(guò)程，需要完成電控單元中應(yīng)用程序軟件的更新。由圖6可看出，舊版本軟件中包含5部分，新版本軟件同樣包含5部分，且地址空間大小相同。數(shù)據(jù)塊#1和#4在新、舊版本中數(shù)據(jù)內(nèi)容和存儲(chǔ)地址沒(méi)有變化，所以不需要在差分文件中描述；數(shù)據(jù)內(nèi)容發(fā)生變化的數(shù)據(jù)塊包括#2和#5，所以這兩塊在描述文件中需要使用Data命令，數(shù)據(jù)塊#2數(shù)據(jù)內(nèi)容沒(méi)有變化，但是地址發(fā)生了偏移，所以使用Copy命令進(jìn)行描述。生成的差分描述文件包括兩個(gè)Data命令與一個(gè)Copy命令以及一個(gè)文件結(jié)束指令。因源文件數(shù)據(jù)長(zhǎng)度為0x80,差分文件長(zhǎng)度大致為0x35，所以大大縮小了傳輸文件尺寸。

圖6 差分描述文件生成

由上述可知，差分文件的大小由Data命令、Copy命令的多少?zèng)Q定，假定命令的數(shù)據(jù)長(zhǎng)度是1字節(jié)，地址數(shù)據(jù)長(zhǎng)度由add表示，Data后面的數(shù)據(jù)內(nèi)容長(zhǎng)度由L表示，Data和Copy命令的數(shù)量分別為c1和c2，則一個(gè)描述文件的數(shù)據(jù)長(zhǎng)度為：

由式（1）可知，實(shí)際上新、舊版本軟件中數(shù)據(jù)內(nèi)容不一致的長(zhǎng)度為L(zhǎng)×c1,差分文件的大小主要由Data命令的多少以及其后的數(shù)據(jù)長(zhǎng)度L決定。所以在生成差分文件過(guò)程中，盡量使用Copy命令尋找軟件中的數(shù)據(jù)內(nèi)容相同處，即使用Copy命令替換Data命令。

3.2 安全方案

整個(gè)OTA系統(tǒng)的安全是從云端到車端的多階段多層級(jí)全方位的防護(hù)，即軟件上傳到OTA服務(wù)器、OTA服務(wù)器到車輛客戶端以及車輛客戶端內(nèi)部都采用不同類型的加密機(jī)制來(lái)提升整個(gè)升級(jí)過(guò)程的安全等級(jí)。對(duì)于OTA服務(wù)器首先是對(duì)登陸用戶需要進(jìn)行安全訪問(wèn)限制和認(rèn)證，其次是對(duì)上傳到OTA服務(wù)器的軟件需要先經(jīng)過(guò)證書(shū)驗(yàn)證、簽名驗(yàn)證和權(quán)限驗(yàn)證。OTA安全方案如圖7所示。

圖7 OTA安全方案

軟件包下載到車內(nèi)之前，云端和車端會(huì)先根據(jù)PKI/CA認(rèn)證系統(tǒng)進(jìn)行身份互驗(yàn)。驗(yàn)證通過(guò)后，云端和車端會(huì)建立基于TLS1.2安全協(xié)議的安全通道，該通道保證云端與車端之間信息傳輸?shù)陌踩訹6]。

在車內(nèi)部分，T-Box、IVI和網(wǎng)關(guān)之間的交互信息采用私有協(xié)議密文傳輸，軟件包的加解密通過(guò)在T-Box、IVI和網(wǎng)關(guān)內(nèi)部集成的HSM（硬件安全模塊）來(lái)管理、處理和保存加密秘鑰，防止軟件包被篡改。

3.3 回滾重刷策略

在車輛升級(jí)過(guò)程中，由于出現(xiàn)車輛電池電壓極低、CAN線不穩(wěn)定的意外情況，升級(jí)的控制器要支持回滾，使控制器軟件能夠回滾到上一版本或者初始版本，保證車輛正常運(yùn)行。對(duì)于帶有Linux、QNX和Andriod等智能操作系統(tǒng)的控制器，其系統(tǒng)設(shè)計(jì)為A/B系統(tǒng)，雙系統(tǒng)交替升級(jí)。當(dāng)A系統(tǒng)處于升級(jí)過(guò)程中時(shí)，B系統(tǒng)正常工作，如果A系統(tǒng)升級(jí)成功后，控制器重啟進(jìn)入A系統(tǒng)，則下次升級(jí)時(shí)A系統(tǒng)正常工作，B系統(tǒng)進(jìn)行升級(jí)；而當(dāng)A系統(tǒng)升級(jí)失敗后，控制器重啟仍然進(jìn)入B系統(tǒng)，并嘗試再次對(duì)A系統(tǒng)進(jìn)行升級(jí)更新。帶有RTOS傳統(tǒng)實(shí)時(shí)操作系統(tǒng)的控制器為網(wǎng)關(guān)下屬CAN節(jié)點(diǎn)ECU，網(wǎng)關(guān)作為診斷儀對(duì)其進(jìn)行刷寫(xiě)升級(jí)。升級(jí)失敗后網(wǎng)關(guān)會(huì)調(diào)用網(wǎng)關(guān)FLASH中存儲(chǔ)的控制器軟件的上一版本再次進(jìn)行刷寫(xiě)，若再次刷寫(xiě)失敗，且控制器程序區(qū)已被擦除，控制器功能喪失使用，則控制器內(nèi)部存儲(chǔ)的初始版本應(yīng)用程序?qū)?huì)啟動(dòng)，保證控制器基本功能的使用。

3.4 車輛條件

在升級(jí)文件下載完立即進(jìn)入升級(jí)的場(chǎng)景中，車輛升級(jí)之前會(huì)對(duì)車輛條件進(jìn)行判斷，升級(jí)過(guò)程中車輛需滿足的條件如表1所列，網(wǎng)關(guān)采集表1中信號(hào)并進(jìn)行判斷，若某一條件不滿足，則HMI會(huì)彈出界面提示用戶手動(dòng)操作以滿足升級(jí)條件。在預(yù)約升級(jí)的場(chǎng)景中，T-Box支持定時(shí)喚醒功能，在指定的預(yù)約時(shí)間T-Box喚醒自己并判斷車輛條件滿足后，啟動(dòng)升級(jí)流程對(duì)需要升級(jí)的控制器進(jìn)行升級(jí)。對(duì)于動(dòng)力系統(tǒng)不具備在IG OFF時(shí)被喚醒刷寫(xiě)升級(jí)的能力，需要T-Box喚醒BCM給整車上電，在IG ON狀態(tài)下完成刷寫(xiě)升級(jí)。升級(jí)過(guò)程中BCM還需禁止車內(nèi)大功率用電負(fù)荷（空調(diào)、前照燈等）工作，避免蓄電池電量消耗過(guò)多。

表1 車輛條件

4 試驗(yàn)驗(yàn)證

4.1 試驗(yàn)方案設(shè)計(jì)

基于上述方案，在云端組建以O(shè)TA服務(wù)器集群為主體并集成安全證書(shū)平臺(tái)、車輛數(shù)據(jù)信息平臺(tái)、負(fù)載均衡、數(shù)據(jù)庫(kù)等功能的私有云平臺(tái)，以該平臺(tái)的硬件為基礎(chǔ)開(kāi)發(fā)并部署云端應(yīng)用程序，利用公有云CDN服務(wù)實(shí)現(xiàn)軟件在全國(guó)范圍內(nèi)的高速分發(fā)下載。在車端將下載管理、差分還原、升級(jí)管理、安全傳輸?shù)冉M件嵌入到TBox、Gateway和IVI中實(shí)現(xiàn)車內(nèi)所有Ethernet/CAN/LIN節(jié)點(diǎn)的刷寫(xiě)升級(jí)。試驗(yàn)測(cè)試方案如圖8所示。

圖8 試驗(yàn)測(cè)試方案

4.2 實(shí)物臺(tái)架

通過(guò)在試驗(yàn)室搭建基于試驗(yàn)方案的云端服務(wù)器集群和車輛控制器實(shí)物臺(tái)架，并對(duì)OTA整個(gè)升級(jí)過(guò)程建立測(cè)試用例，進(jìn)行正向、逆向的完整測(cè)試，部分測(cè)試用例如表2所列，測(cè)試臺(tái)架如圖9所示。

表2 部分測(cè)試用例

圖9 測(cè)試臺(tái)架

4.3 試驗(yàn)結(jié)果

通過(guò)臺(tái)架試驗(yàn)對(duì)整個(gè)OTA系統(tǒng)進(jìn)行測(cè)試，包括HMI的可視化、云服務(wù)器端WEB界面的可視化以及云服務(wù)器端對(duì)關(guān)鍵數(shù)據(jù)的統(tǒng)計(jì)，以T-Box測(cè)試為例，試驗(yàn)結(jié)果如表3所列。

表3 試驗(yàn)結(jié)果

5 結(jié)束語(yǔ)

整車OTA功能是實(shí)現(xiàn)智能網(wǎng)聯(lián)汽車快速更新迭代的基本條件，也是未來(lái)汽車發(fā)展中一種必然趨勢(shì)。本文提出一種安全、方便、可靠的整車OTA解決方案，并對(duì)OTA關(guān)鍵技術(shù)進(jìn)行了分析。通過(guò)在試驗(yàn)室搭建基于試驗(yàn)方案的云端服務(wù)器集群和車輛控制器實(shí)物臺(tái)架，并對(duì)OTA整個(gè)升級(jí)過(guò)程建立測(cè)試用例，進(jìn)行了正向、逆向的完整測(cè)試，通過(guò)測(cè)試驗(yàn)證了整個(gè)升級(jí)過(guò)程的可行性、安全性和可靠性。