分析丨汽车OTA技术是什么？

xiaocheng

首先大家要了解什么是OTA，OTA简单的可以理解为远程升级，最早是安卓系统在手机上推出的，终结了手机软件升级需要连接电脑、然后下载软件、再安装更新的繁复流程。而运用到汽车上也就可以理解为可以远程升级你的车辆软件系统，甚至可以直接升级你的软件来控制整车。

几年前的网络速度，处理器的制程以及车机系统处在很低级的状态，想要通过OTA升级汽车有点不切实际。即便到了现在车用OTA更多是对车载应用、多媒体系统或整车底层系统进行升级。车机内搭载了SIM卡模块或者WiFi模块，就可以实现OTA，其实技术并不复杂。



与汽车的底盘、发动机不同，软件是很容易进行更新迭代的。以往车辆遇到软件故障或是需要更新，我们需要将车开到4S店让工作人员利用专业电脑修复，但这样做所耗费的人力物力，以及消费者的时间可都不少，而OTA技术可以让用户足不出户就完成车辆升级，相比之下减少了成本、还节省了用户时间。

一、为何OTA技术往往与电动车挂钩？

答案很简单，因为电动车更适合OTA升级。早期的汽车都是纯机械结构，软件不可能对车辆进行升级。所以车用OTA一般是针对娱乐系统、导航等推出在线系统更新。比如更新中控的Android Auto及Apple CarPlay车载系统，或者是更新导航地图。不过电动车结构相对简单，整车的动力系统、制动系统、电池管理系统等所有跟车辆行驶有关的系统都转向了电子化，OTA随时可以对其进行“控制”、“改写”，只要厂商前期在设计时，在核心的三电系统、车机处理器、传感器等方面留出较多的冗余，后期通过软件提升的难度要容易的多。而且为了实现自动驾驶，不少汽车上安装了大量传感器，汽车厂商能够通过软件利用这些传感器来让车辆有更多功能。



作为首先在汽车上大规模推进OTA功能的特斯拉在这方面与传统汽车厂商相比领先优势明显，比如此前特斯拉扬言要在纽博格林北环赛道上赢过保时捷， 随后国外知名汽车媒体Top Gear做了一期节目，在节目中对保时捷Taycan Turbo S和特斯拉Model S进行了对比测试。在两车都是原装车的情况下，保时捷Taycan全面胜出。

这一结果让特斯拉CEO埃隆·马斯克非常不满，所以特斯拉将通过OTA升级的形式将Model S的峰值功率提升50马力。如果是燃油车，想要通过OTA升级50马力以当前的技术手段很难实现，不过电动车就另当别论了。另外特斯拉通过OTA百公里加速可以从5.2秒缩短至4.7秒，特斯拉可以通过OTA把刹车距离缩短6米，还可以通过OTA刷出圣诞节彩蛋。



正是因为电动车更适合在线升级，结果不少新能源汽车品牌就把OTA当作卖点大肆宣传。如果OTA只能像以前一样升级车机的系统界面、UI、车载APP、多媒体系统，那还怎么突出这些新势力品牌主打的智能汽车概念。

二、为何在传统燃油车上少见OTA？

数字化在我们的生活中已经变得极为普遍，汽车同样也在顺应时代变化。

一辆车的研发周期通常是3-4年甚至更长，车企在研发过程中会在各种工况和用车环境下进行充分测试，尽可能地发现并解决所有问题，然后才推向市场，即便如此，我们还听到汽车大规模召回的消息，足以见得汽车产品可靠性和安全性有多重要。



传统燃油车的动力单元非常复杂，喷油量、节气门开合、刹车系统、换挡逻辑、转向比、悬挂风格等等参数标定，耗费了数年甚至上千名工程师的精力心血，调试好量产的状态绝对是在成本范围内的最佳状态。很多改装车玩家改了车之后动力输出不稳定，车辆操控甚至还会下降，就是是因为改变原厂车非常平衡的设定。

大家已经习惯了手机在线升级，不过在燃油车上想要实现并不容易。手机往往为了抢占市场，在功能实现百分之八十或者九十的时候就抢先上市，然后通过OTA来不断完善软件上的问题，从而改善产品BUG。燃油车想要实现OTA匹配的东西太多，比如发动机的出力特性，传动系统与发动机输出的匹配，又或是驾驶辅助系统的标定，更何况这些核心机构直接决定车辆安全，汽车厂商将“半成品”推向市场是非常不负责任的行为，数码产品如果有缺陷，最多也就是损失功能，汽车有问题或缺陷则会出现严重的安全事故，影响的是车主及乘客的生命财产安全。



刷ECU改性能可不是闹着玩的，不像电动系统那么简单直接。传统汽车厂商不是不能OTA，而是不愿意，这只是新能源汽车品牌热衷的“宣传卖点”。如奥迪、捷豹I-PACE、奔驰EQC这些豪华品牌的电动车型，仅仅因为不支持整车OTA，所以被某些品牌水军在网络上恶意攻击为“老年代步车”，实在是毫无意义。传统汽车企业即使做纯电产品也是在上市前经历“千锤百炼”的测试，并没有把所谓的OTA放在眼里。

三、OTA技术原理



1、基于对称密钥加密技术

2005年，Mahmud等人在核心期刊IEEE Intelligent Vehicles Symposium提出了一种智能汽车的安全更新技术。提议在原始主机厂、软件供应商（SS）之间共享一组链路密钥。在任何软件更新之前，使用一个链路密钥在软件供应商和车辆之间建立安全连接，形成可信通道。

2012年，Mansour等人设计了一种诊断和安全OTA系统，称为AiroDiag，用于连接车辆。下图为AiroDiag的架构。AiroDiag架构的主要分为:OEM、汽车和云端。

AiroDiag采用了对称密钥技术，特别是采用了先进的加密标准来保证软件更新过程中的通信安全。在AiroDiag中，密钥存储在OEM端的数据库中。AiroDiag应用始终保持与网络的连接，处理来自车机端的任何连接请求。在AiroDiag中，软件更新过程由客户端触发。一旦触发软件更新过程，车辆首先与OEM建立安全连接。接下来，车辆将告知OEM端当前已安装软件的版本。如果有新软件可用，OEM将触发软件更新过程，并与汽车建立安全连接。



2、基于哈希算法

2008年 Nilsson和Larson在IEEE大会上提出了一种用于车联网的安全OTA固件更新协议。在他的架构中分为了四个实体:车、服务器后端、互联网和无线基站。在这里，服务器后端是负责与网联车通信的主要单元。作者先将更新后的二进制文件划分为多个数据块。然后以相反的顺序对每个片段进行哈希处理，创建哈希表。最后，服务器后端使用预共享的加密密钥对的每个数据块进行加密，然后再将它们传输汽车终端。

考虑到车辆中有限的资源，后端使用分块哈希加密作为加密技术。尽管这种变法可以确保不会受到窃听、拦截和篡改攻击，但是无法防止拒绝服务攻击。



3、基于区块链技术

2018年，Steger等人在工作中引入了区块链(BC)的架构来解决智能汽车OTA升级的安全和隐私问题。该体系结构的主要实体有:OEM、服务中心、汽车、云服务器和SW主机。该架构中，所有参与的实体组成一个集群，一旦出现了新的OTA包，SW主机上的程序就会触发软件更新过程。首先，SW主机向云服务器发送一个带有自己签名的存储请求。

在验证成功后，云服务器发送一个二次确认包，包括自己的签名和软件上传过程中需要的文件描述符发送到SW主机中。将新软件上传到云服务器后，SW主机在区块中创建一个更新事件，其中包含关于新软件在云端位置等信息。然后SW主机中使用私钥签署这个事件，并最终将加密的事件广播给车辆。接着作者进行了本概念的验证测试，结果表明，该体系架构的性能优于基于证书的体系架构。



4、对称密钥与非对称密钥的组合加密算法

2016年Steger等人在IEEE大会提出了一个名为SecUp的框架，用于对网联车进行安全高效的OTA软件更新。其中涉及到:OEM、服务中心、汽车终端和汽车维修人员。SecUp同时使用对称和非对称密钥加密来保护OTA更新过程。汽车维修人员使用NFC智能卡与PIN码对手持设备进行对称的身份验证，然后服务后端返回会话密钥，利用该会话密钥配合汽车RSA公钥将安装包加密下发到每个汽车。接收成功后，汽车在安装前对软件用私钥进行验证解密。SecUp的性能是通过对沃尔沃ECU更新实验测试的。结果显示，不同类型软件的更新持续时间介于6.77秒~ 33.19秒之间。



5、硬件安全模块

2016年Petri等人在国际汽车安全大会上提出了一种基于HSM的可信平台模块(Trusted Platform Module, TPM)的安全OTA更新机制。首先，网关ECU从远程服务器下载更新后的软件。然后ECU使用TPM中预定义的散列验证下载的软件。验证成功后，ECU将更新后的软件发送到目标ECU进行安装。使用TPM的好处是它支持许多流行的加密算法，例如RSA、SHA、AES。主要局限性是，每个ECU都需要一个HSM/TPM算法加密机，从而导致了额外成本。

根据ABI市场研究数据报告，2022 年将有 2.03 亿辆部汽车能通过 OTA 方式更新软件,其中至少 2200 万辆汽车还能通过 OTA 更新固件，未来我们会接受到来自车辆OTA更新带来的安全问题的挑战。