車輛端目標(biāo)ECU的OTA實(shí)現(xiàn)方案

1 OTA技術(shù)概念

隨著高級(jí)輔助駕駛的發(fā)展和自動(dòng)駕駛的引入，汽車變得越來(lái)越智能，這些智能汽車被軟件控制，裝有巨量的軟件程序，當(dāng)出現(xiàn)一個(gè)軟件程序問(wèn)題或者更新時(shí)，如果按照傳統(tǒng)的解決方式，那都將是一項(xiàng)很繁重的任務(wù)。以某車上市后出現(xiàn)的剎車邏輯問(wèn)題為例，按照傳統(tǒng)的解決方案，那么所有該車輛先將被召回，然后派人更新軟件。這樣，一方面影響用戶體驗(yàn)和滿意度，另一方面又要耗費(fèi)大量的人力物力來(lái)修復(fù)問(wèn)題。

為了解決傳統(tǒng)方式的痛點(diǎn)，使得軟件更新更迅速，一種遠(yuǎn)程升級(jí)軟件的技術(shù)OTA被引入到汽車行業(yè)。汽車遠(yuǎn)程升級(jí)技術(shù)OTA(Over-the-Air)是指通過(guò)移動(dòng)通信網(wǎng)絡(luò)（2G/3G/4G或Wifi）對(duì)汽車的零部件終端上固件、數(shù)據(jù)及應(yīng)用進(jìn)行遠(yuǎn)程管理的技術(shù)。簡(jiǎn)單來(lái)說(shuō)OTA技術(shù)實(shí)現(xiàn)分三步：首先將更新軟件上傳到OTA中心，然后OTA中心無(wú)線傳輸更新軟件到車輛端，最后車輛端自動(dòng)更新軟件。

Source：OTA Software Update Technology for Vehicles – Highly Reliable and Quick Updates

也就是上述剎車邏輯問(wèn)題的解決方式就變成了更新軟件無(wú)線傳輸?shù)杰囕v并自動(dòng)完成更新，完美地解決傳統(tǒng)方式的痛點(diǎn)，顯然我們可以看出OTA技術(shù)的優(yōu)勢(shì)：

能有效提升用戶體驗(yàn)與滿意度

能大范圍大批量升級(jí)系統(tǒng)并提供升級(jí)成功率

能快速修復(fù)車輛故障

能有效降低售后維護(hù)成本

而且隨著汽車行業(yè)已進(jìn)入軟件定義汽車的時(shí)代，對(duì)售后汽車售賣各種各樣功能的新商業(yè)模式興起，也要求汽車必須具備OTA功能。這里準(zhǔn)確地說(shuō)，OTA分為兩類，一類是固件在線升級(jí)FOTA（Firmware-Over-the-Air），是指不改變車輛原有配件的前提下，通過(guò)寫入新的固件程序，使擁有聯(lián)網(wǎng)功能的設(shè)備進(jìn)行升級(jí)，包括車輛的發(fā)動(dòng)機(jī)，電機(jī)，變速箱，底盤等控制系統(tǒng)，比如特斯拉曾通過(guò)FOTA新增過(guò)自動(dòng)駕駛功能、增加過(guò)電池容量和改善過(guò)剎車距離等。另一類是軟件在線升級(jí)SOTA（Software-Over-the-Air），是在操作系統(tǒng)的基礎(chǔ)上對(duì)應(yīng)用程序進(jìn)行升級(jí)，是指那些離用戶更近的應(yīng)用程序，UI界面和車載地圖、人機(jī)交互界面等功能，像娛樂(lè)系統(tǒng)更新操作界面或主題。

下面將以FOTA技術(shù)應(yīng)用來(lái)進(jìn)一步了解：

2 OTA技術(shù)架構(gòu)

當(dāng)前智能網(wǎng)聯(lián)汽車的OTA架構(gòu)由OTA云端，OTA終端和OTA升級(jí)三部分組成，如下所示。

Source: 智能網(wǎng)聯(lián)汽車的OTA升級(jí)方案

這里，OTA云端為OEM專屬的云端服務(wù)器平臺(tái)，OTA終端采用TBox，網(wǎng)絡(luò)架構(gòu)采用功能域劃分方式?？紤]到本文對(duì)OTA技術(shù)介紹的完整性，但重點(diǎn)不在說(shuō)明OTA技術(shù)架構(gòu)，而是旨在說(shuō)明車內(nèi)嵌入式設(shè)備ECU等的升級(jí)方案，故引用《智能網(wǎng)聯(lián)汽車的OTA升級(jí)方案》供相關(guān)朋友再做進(jìn)一步研究。

Source: 智能網(wǎng)聯(lián)汽車的OTA升級(jí)方案

針對(duì)ECU升級(jí)的過(guò)程描述：FOTA 系統(tǒng)主要通過(guò)車載移動(dòng)互聯(lián)網(wǎng)進(jìn)行數(shù)據(jù)上報(bào)及下行傳輸，通過(guò)車內(nèi)網(wǎng)對(duì)車內(nèi)設(shè)備單元進(jìn)行數(shù)據(jù)刷寫。典型的 FOTA 系統(tǒng)網(wǎng)絡(luò)安全主要由 OTA 遠(yuǎn)程管理平臺(tái)端、 TBox 端（4G LTE）、中央網(wǎng)關(guān)、域控制器端及數(shù)個(gè) ECU 等節(jié)點(diǎn)組成。

Source:來(lái)自網(wǎng)絡(luò)，未知

FOTA 系統(tǒng)網(wǎng)絡(luò)安全性需要確保升級(jí)包在遠(yuǎn)程服務(wù)器端的安全存儲(chǔ)、后臺(tái)服務(wù)器到車端的安全加密通訊、中央網(wǎng)關(guān)的升級(jí)包解密、防火墻和 OTA 管理，以及車內(nèi)網(wǎng)絡(luò)基于對(duì)稱加密的安全通訊和安全 Bootloader 等要素。

Source:?Software_Update_and Upgrade Over thr Air

3 ECU的OTA技術(shù)實(shí)現(xiàn)方案

本部分主要介紹車內(nèi)嵌入式設(shè)備ECU的OTA技術(shù)實(shí)現(xiàn)方案，也就是整車控制器，發(fā)動(dòng)機(jī)控制器，變速箱控制器和電池管理控制器等實(shí)現(xiàn)OTA升級(jí)，可以采用怎樣的實(shí)現(xiàn)方案。

從上文可知，在車輛端，OTA實(shí)現(xiàn)是從TBox 端（4G LTE）經(jīng)網(wǎng)關(guān)，通過(guò)總線通訊（CAN或以太網(wǎng)）將軟件刷寫到車內(nèi)嵌入式設(shè)備ECU（目標(biāo)ECU）。

那么具體刷寫到目標(biāo)ECU還是其他存儲(chǔ)設(shè)備？以及又將如何啟動(dòng)新軟件運(yùn)行？下面將詳細(xì)介紹，不過(guò)為了更好地理解ECU的OTA實(shí)現(xiàn)方案，先解釋下分區(qū)刷寫和地址映射的概念：

3.1 分區(qū)刷寫與地址映射的概念

關(guān)于軟件刷寫，經(jīng)常會(huì)看到需求“要求支持Bootloader，BSW，ASW和標(biāo)定等獨(dú)立刷寫”，這是怎么個(gè)概念呢？下面進(jìn)行詳細(xì)解釋：對(duì)于汽車ECU軟件研發(fā)來(lái)說(shuō)，所謂軟件要么是模型，要么是C/C++代碼，但最終都會(huì)變成一個(gè)二進(jìn)制文件，比如HEX, S19, Bin等格式。這個(gè)文件將會(huì)被刷寫到ECU的非易失性存儲(chǔ)單元（內(nèi)存）。

Source:?英飛凌TC2xx用戶手冊(cè)

像英飛凌TC2xx系列采用的內(nèi)存是Flash，存儲(chǔ)程序叫做PFlash，存儲(chǔ)數(shù)據(jù)叫做DFlash。為了合理有效使用這些內(nèi)存，同時(shí)也方便管理，通常我們會(huì)分配這些內(nèi)存的用途，以下圖的PFlash分配為例，分配2MB存啟動(dòng)軟件Bootloader，2MB存底層軟件BSW和2MB存應(yīng)用層軟件ASW。

針對(duì)前面需求，不難理解客戶的意思，就是需要能只更新其中一個(gè)，比如ASW，而其他不變，即Bootloader和BSW不變。當(dāng)然，OTA本質(zhì)上就是實(shí)現(xiàn)軟件遠(yuǎn)程刷寫，當(dāng)然會(huì)有這樣的需求，所以在此先介紹

第1個(gè)概念--分塊刷寫、分區(qū)刷寫。

僅做示意，不代表實(shí)際應(yīng)用情況

第2個(gè)概念--地址映射

上面進(jìn)行了內(nèi)存分配，那么我們寫代碼時(shí)候，怎么保證代碼就能放入規(guī)定的內(nèi)存空間，比如說(shuō)ASW的軟件代碼怎么能放在規(guī)定的內(nèi)存空間，更準(zhǔn)確第地說(shuō)，ASW代碼編譯完成后的地址怎么會(huì)在0x8040 0000 - 0x805F FFFF范圍。需要使用#pragma用法來(lái)實(shí)現(xiàn)，以一個(gè)ASW函數(shù)QxyDemo的定義為例，

Qianyixing_sdata的地址范圍屬于上圖規(guī)定的ASW內(nèi)存空間，通過(guò)所示#pragma的用法，那么QxyDemo編譯后二進(jìn)制代碼的地址將在Qianyixing_sdata內(nèi)，也就意味著在0x8040 0000 - 0x805F FFFF范圍。

通過(guò)上述這個(gè)過(guò)程，其實(shí)我們建立ASW C/C++代碼與ECU Flash地址的映射，這樣就能保證ASW二進(jìn)制代碼刷寫到預(yù)期的ECU PFlash地址，同理Bootloader和BSW。當(dāng)軟件運(yùn)行時(shí)，就可以通過(guò)有序地訪問(wèn)來(lái)自PFlash地址的ASW內(nèi)容，執(zhí)行ASW預(yù)期的操作和運(yùn)算。

3.2 幾種OTA實(shí)現(xiàn)方案

在介紹了分區(qū)刷寫和地址映射的概念后，下面來(lái)了解ECU的OTA實(shí)現(xiàn)方案?？偟膩?lái)說(shuō)，OTA實(shí)現(xiàn)方案分為兩種，一種與通常的刷寫方式一樣，即先擦除當(dāng)前版本軟件，再刷寫新版本軟件，但這種方法有個(gè)隱患，就是新軟件有問(wèn)題時(shí)，由于舊軟件已經(jīng)被擦除，沒(méi)有備份，恢復(fù)會(huì)很麻煩，因此就提出了另一種，即A/B交換。

Source:?TA Updates - Requirements for a Full System Solution

A/B交換就是內(nèi)存中會(huì)分兩塊區(qū)域，

一塊存放當(dāng)前版本軟件，另一塊存放舊版本軟件。當(dāng)OTA升級(jí)新版本軟件時(shí)，新版本軟件將代替舊版本軟件，這時(shí)，一塊放的是當(dāng)前版本軟件，另一塊放的是新版本軟件。再激活運(yùn)行新版本軟件，此時(shí)原先的當(dāng)前版本就變?yōu)榕f版本軟件，作為備份，以防運(yùn)行的新版本軟件有問(wèn)題，可以及時(shí)回滾恢復(fù)。

Source:?TA Updates - Requirements for a Full System Solution

這里，對(duì)于A/B交換方案，其實(shí)有三種實(shí)現(xiàn)方案：

第1種，基于硬件輔助的A/B交換方案。

該方案要求ECU內(nèi)存足夠，而且支持地址重映射，也就是當(dāng)新版本軟件刷寫完成，通過(guò)更新映射地址來(lái)激活新版本軟件，即新版本軟件運(yùn)行的入出地址不變。

Source：Software_Update_and Upgrade Over thr Air

第2種，A/B交換方法

與第1類的差別在于ECU硬件不支持地址重映射，激活新版本軟件的入出地址變化。

Source：Software_Update_and Upgrade Over thr Air

第3種，基于外擴(kuò)內(nèi)存的A/B交換方案

該方案是需要額外的外擴(kuò)內(nèi)存，備份當(dāng)前版本軟件和舊版本軟件，新版本軟件會(huì)先刷寫原先的舊版本軟件空間，然后擦除ECU內(nèi)存的當(dāng)前版本軟件，刷寫新版本軟件，完成激活。

Source：Software_Update_and Upgrade Over thr Air

針對(duì)以上三種A/B交換方案，

這三種方案在新版本軟件有問(wèn)題時(shí)，都支持舊版本軟件回滾；

第1，2方案的激活時(shí)間都較短，但第1種方案一般需要高級(jí)版本的ECU才支持，比如英飛凌TC39x；第2種方案軟件實(shí)現(xiàn)較復(fù)雜，因?yàn)樾枰幚聿煌膹?fù)位向量和中斷地址；

第3種方案則是通用的方案，因?yàn)閷?duì)已有的MCU平臺(tái)不需要做很大改動(dòng)，只需要增加額外的外擴(kuò)內(nèi)存就能實(shí)現(xiàn)。

注：回滾（Rollback）指的是程序或數(shù)據(jù)處理錯(cuò)誤，將程序或數(shù)據(jù)恢復(fù)到上一次正確狀態(tài)的行為?；貪L包括程序回滾和數(shù)據(jù)回滾等類型。

3.3?新版本軟件

上述OTA升級(jí)刷寫的新版本軟件，一般分為兩類。一類是通常理解的新軟件替換舊軟件。

Source:?TA Updates - Requirements for a Full System Solution

像車輛ECU的大部分軟件很小，都采用這類，但像車輛的娛樂(lè)信息系統(tǒng)和車載地圖等的軟件很大，可能采用另一類：差分文件。

引自[6]:由于車載網(wǎng)絡(luò)的帶寬資源和計(jì)算資源等有限，通常不在其上直接傳輸完整升級(jí)文件而是選擇通過(guò)差分算法傳輸增量升級(jí)文件然后再通過(guò)相應(yīng)還原算法計(jì)算出原完整升級(jí)文件，以減少傳輸過(guò)程中的時(shí)間消耗以及對(duì)車載網(wǎng)絡(luò)本身的使用負(fù)載。差分算法是指在云服務(wù)器端比較新、舊版本之間的差異并生成差分 delta 文件，然后將該文件傳輸?shù)杰囕v客戶端，由車輛客戶端根據(jù)接收到的差分delta 文件和舊版文件還原成新版文件。因差分 delta文件的大小遠(yuǎn)小于源文件，所以有利于無(wú)線傳輸，同時(shí)節(jié)省流量，能夠提升整個(gè)傳輸過(guò)程的安全可靠性和經(jīng)濟(jì)性。

Source:?TA Updates - Requirements for a Full System Solution

以上就是從ECU角度介紹了OTA技術(shù)實(shí)現(xiàn)方案的大體思路，具體采用何種方案，主要取決整車網(wǎng)絡(luò)架構(gòu)和ECU情況，接下來(lái)借助AutoSAR OTA相關(guān)文檔來(lái)談?wù)凮TA都有哪些典型需求。

4 OTA相關(guān)需求

為了實(shí)現(xiàn)OTA功能，一般會(huì)提什么樣的需求？下面通過(guò)對(duì)OTA升級(jí)過(guò)程和OTA軟件實(shí)現(xiàn)架構(gòu)的理解，來(lái)逐步分析。
?

4.1 OTA升級(jí)過(guò)程

根據(jù)AutoSAR相關(guān)文檔，OTA升級(jí)的完整過(guò)程如下示意：

Source：AUTOSAR_EXP_FirmwareOverTheAir

這里假設(shè)新軟件已經(jīng)下載到FOTA Master ECU, 那么還需將新軟件下載到Target ECU，驗(yàn)證新軟件的完整性和正確性，并激活新軟件等動(dòng)作，即執(zhí)行installation, verification和 activation幾個(gè)過(guò)程：

installation是指將新軟件下載到target ECU，這個(gè)過(guò)程中車輛保持正常運(yùn)行，即車一邊跑一邊再下載軟件到target ECU, 所謂的 read while write.

在這個(gè)過(guò)程，Master ECU為了協(xié)調(diào)OTA升級(jí)，需要實(shí)時(shí)了解進(jìn)展；軟件installation需要多幀傳輸，這時(shí)Target ECU需要進(jìn)行數(shù)據(jù)處理；installation過(guò)程也可能不是如預(yù)期順利，比如會(huì)出現(xiàn)取消或中斷等情況。因此，針對(duì)這些情況就會(huì)產(chǎn)生相應(yīng)的需求，比如：

verification是指通過(guò)預(yù)定算法驗(yàn)證新軟件。這時(shí)需求：Completeness of new software，以及指定相應(yīng)的驗(yàn)證算法

activation是指車輛處于安全狀態(tài)下，備份舊軟件，激活新軟件。這里，如果采用外部Flash來(lái)實(shí)現(xiàn)，其過(guò)程可能為先備份舊軟件到外部Flash，然后復(fù)制新軟件到ECU，再激活新軟件。

此時(shí)需求為：

以上通過(guò)對(duì)各個(gè)過(guò)程描述和分析，示例了各個(gè)過(guò)程會(huì)產(chǎn)生怎樣的需求。以此思路，那么對(duì)Target ECU又怎樣的需求，從AutoSAR文檔可見(jiàn)如下需求：

總的來(lái)說(shuō)，需求一方面取決于整車的OTA架構(gòu)和ECU情況，另一方面又取決于OTA功能的自身定義和特性。

4.2 OTA軟件實(shí)現(xiàn)

根據(jù)AutoSAR架構(gòu)，OTA軟件實(shí)現(xiàn)方案如下所示：

Source:?AUTOSAR_EXP_FirmwareOverTheAir

對(duì)于Target ECU來(lái)說(shuō)，主要分3塊工作，支持UDS服務(wù)通過(guò)通訊模塊傳輸進(jìn)新軟件；OTA handle模塊執(zhí)行處理OTA各個(gè)過(guò)程，比如上節(jié)所述的installation, verification和activation等功能；內(nèi)存模塊寫入新軟件等。