文 | 来源·盖世汽车
OTA，又称远程在线升级，主要是通过移动通信空中接口对数据及应用进行远程更新和修补，从而不断为车辆增加新功能，快速修复漏洞，让车主拥有更便捷、更智能的用车体验。在过去相当长的一段时间里，这项技术主要应用于消费电子领域，近两年随着汽车智能化、网联化、电气化变革的深入推进，OTA开始在汽车领域走热，并逐渐成为越来越多新车的主要营销卖点，特别是在新造车品牌中间，OTA几乎成了新车“标配”。
然而，OTA在改善用车体验方面固然拥有十分出色的表现，现阶段这项技术在推广过程中所面临的“痛点”亦不容忽视，例如OTA单次升级时间过长，更新过程中故障频出等，都在很大程度上让用户对OTA的使用体验大打折扣，难言满意。据盖世汽车近日发布的一项针对汽车OTA应用现状的调查显示，在这份有将近1500人参与的调研中，仅8%的参与者表示对OTA目前的表现非常满意，绝大多数参与者表示满意度“一般”，这意味着OTA要想在汽车领域实现规模化应用还需时日。
OTA加速普及 造车新势力成主力军
在传统功能汽车占据市场主流的时代里，汽车拥有哪些功能，具备什么样的性能表现，在消费者购买时基本已经确定了，无法更改，除非换车或者花费一笔不小的资金对车辆的部分配置进行更改或升级。OTA的出现改变了这种情况，使得汽车像手机一样通过远程升级获取新功能成为可能。
OTA在汽车上的应用较早可追溯到2012年，当年特斯拉推出的Model S首次搭载了OTA技术，用于对人机交互、动力、电池等系统进行更新升级。受特斯拉的启发，随后几年包括丰田、本田、福特、沃尔沃、比亚迪、蔚来、小鹏、威马等在内的诸多车企纷纷开始探索OTA“上车”的可能，其中福特于2017年5月首次宣布将OTA技术应用到其车载系统中。
大约从2019年开始，OTA在国内汽车市场的普及速度明显加快，尤其在新造车品牌中间，几乎所有的玩家都将OTA当做了提升产品力的关键在量产车上广泛搭载，如蔚来ES6、ES8，小鹏G3、P7，威马EX5、EX6，理想ONE，哪吒U，零跑S01、T03等车型，都对OTA进行了标配。发展到现在，造车新势力已经成了汽车OTA普及的主力军，很多用户都是通过上述车型了解并使用OTA功能的。
据盖世汽车此次调查显示，在使用过汽车OTA功能的1028位参与者中，29%的参与者是通过新造车品牌体验到这项功能的。其中蔚来汽车，据悉从2019年初到现在至少已经进行了12次OTA，涉及车机、辅助驾驶等多个系统。比较之下，通过传统自主品牌或者普通合资品牌体验这项功能的参与者占比相对较少，分别为23%和12%。
分析原因，造车新势力敢于创新，对新技术的应用相较于传统车企更大胆、更积极是很重要的一方面。“敢于创新、变革一直是造车新势力立足之根本，无论是汽车外形设计、内饰设计还是驾驶体验优化、汽车内部总线架构，造车新势力都做了很多创新，为此他们把OTA技术当做了实施创新的法宝，并将其作为最根本、最必须的必备功能。” 艾拉比汽车行业副总裁李彬接受盖世汽车采访时表示。
“不仅如此，造车新势力因为是刚刚组建，很多人才都具备车联网和互联网思维，他们对OTA的理解会更加全面、深入，所以在整车OTA建设工程中，包括架构总线的设计，零部件供应商的选择方面造车新势力会更加灵活，更容易实施和应用OTA技术。不过传统车企在这方面也在迎头赶上，像上汽、长城、江淮等传统车企都与我们合作了OTA项目。”艾拉比李彬指出。
东软睿驰车联网安全技术技术总监张雷则认为，虽然在汽车上应用OTA技术是大势所趋，但由于汽车OTA要求十分严苛，上车的软件必须经过非常严格的测试，对于传统车企而言，很多还是会担心OTA技术不成熟，没有得到充分的验证，不稳定、不安全。“所以即便有车企愿意尝试，为保障使用者的安全，升级的也主要是偏娱乐的非安全件，而对于一些关乎安全的零部件，比如动力系统，则不会选择通过OTA升级。”
事实确实如此，据此次调查近50%的参与者表示他们使用OTA功能主要是用来对导航、娱乐及相关舒适性配置进行升级，特别是导航系统，选择通过OTA升级的参与者最多。而对于ADAS系统、电池管理系统、动力系统、制动系统等与安全息息相关的部件，也有用户选择通过OTA来进行升级，不过占比相对较少。
对此，艾拉比李彬指出主要是因为汽车上的固件一般都是涉及车辆性能的，一旦出现升级后系统不能用的情况，对于主机厂的品牌损失会非常大，故一些OEM为了避免车辆在市场上出现批量质量事故，并没有将整车升级放开。“另外，在当前整车厂的电子电气开发模式中，除去修复BUG外，在老车型上开发新功能的模式还没有被梳理清楚。所以目前整车厂在软件升级上走的快，在固件升级上走的慢。”
哈曼智联科技OTA售前技术高级经理王洪滨也认为出现这种差别的原因在于动力系统、电池管理系统等固件的更新（FOTA）和应用软件升级（SOTA）属于两个完全不同层级的升级，固件升级由于涉及到车载软件的底层系统，比如操作系统，驱动程序等，它们的迭代周期一般没有应用软件高，但是稳定性及安全性要求很高，实施OTA升级之前需要进行严格的测试及质量控制，所以开展起来更难，一般需要制定严格的升级方案及应对策略。
“此外，应用软件升级可以在系统正常运行时进行，而固件升级在没有双分区的情况下，需要系统重启到更新模式才能完成升级任务。从升级条件上来讲，应用软件升级对于车辆的运行条件没有严格的要求，而固件升级则需要车辆处于一些特定的安全状态才能进行升级，如驻车状态、发动机转速为零状态等。” 哈曼智联科技王洪滨进一步补充道。
正是出于对安全的顾虑，以及开展FOTA的难度，目前很多传统车企在应用OTA功能时，主要选择以车载系统SOTA作为切入点，在整车FOTA上则持以谨慎的态度。“不过，随着汽车OTA技术的不断演进及成熟，固件更新会不断获得突破，成为联网汽车一个必备的常用功能。” 哈曼智联科技王洪滨表示。
故障频出更新慢 用户难言满意
不可否认，汽车OTA的出现很大程度上颠覆了广大车主的用车体验。过去车主如果想对信息娱乐系统、导航、驾驶辅助系统等配置进行升级，或者优化车辆的底盘、动力、刹车、续航等性能表现，抑或系统出现漏洞需要修复，必须将汽车开到4S店才能实施相关的操作，十分耗费时间和精力。有了OTA，这些问题很多只需点击屏幕就可以轻松解决。
例如特斯拉通过OTA升级，不仅可以为相关车型提升续航里程，缩短百公里加速时间，还可以让汽车对红绿灯和停车标志进行识别并自动停车，优化智能驾驶能力。零跑S01甚至通过一次OTA升级优化了40余项内容，涉及自动泊车、“小零”虚拟形象、无级调色氛围灯、扩展更多语义识别等多项功能。所以对于OTA目前的表现，很多用户还是很满意的。
不过认为OTA满意度一般或者不满意的参与者亦不在少数。具体来看，导致用户对OTA不满意的原因主要在于该功能表现不稳定，在升级过程中或者升级后系统存在故障风险。例如菲亚特此前在北美对其最新款Uconnect系统进行OTA后，系统出现故障连续重启，导致车主不仅无法正常使用车载娱乐功能，还失去了紧急救助等关键功能。
特斯拉也曾多次被曝因OTA升级导致车辆出现故障。2019年6月左右，很多特斯拉老款车型的车主透露他们使用了OTA升级功能后，车辆出现了续航里程大幅减少的情况，为此一些特斯拉车主不得不禁用车上的Wi-Fi，以避免任何可能影响续航里程的软件更新。随后的7月，又有特斯拉车主爆料称其将汽车通过OTA升级到20.4.4版本以后，车辆所有配置的钥匙全部被删，导致车辆挂不上档。试想一下，特斯拉可谓目前对OTA应用最熟练的车企，尚且会面临此类问题，更不用说其他企业。
升级过程中部分功能不能使用目前在汽车OTA过程中也比较常见。一个典型的例子是2019年初发生的蔚来ES8北京长安街“趴窝”事件，当时由于该车司机在驾车过程中恰逢堵车，体验车机功能时不慎连续误操作启动了FOTA升级，导致车辆无法行驶，系统黑屏无法正常操作，甚至车窗也无法摇下，在长安街停留了1个多小时。
类似的情况在零跑S01上也发生过。2019年11月，一位零跑S01用户透露其在驾车过程中启动了OTA升级，导致车辆进入断电状态不能行驶，直至十多分钟后车辆完成OTA升级才恢复正常。尽管随后零跑汽车回应称本次事件没有涉及车辆故障，车辆进行OTA升级时确实需要保持车速为零，但给用户造成不愉快的用车体验却无法消除。
升级时间长也是很多用户对汽车OTA不太满意的一个地方。据此次调查，近90%的参与者所能接受的单次OTA升级时间在30分钟以下，其中33%的参与者所能接受的单次OTA升级时长在10-30分钟之间，基本等同于手机操作系统升级时长，54%的参与者所能接受的单次OTA升级时长小于10分钟，基本等同于手机APP升级时长。目前来看，要达到这些要求显然还需要一定的时间。
“这次调研中之所以会出现很多参与者对OTA的升级时长不满意，可能源自大家在对升级时长做评价时，对比的基础是手机和电脑端的软件升级。手机系统和电脑系统的升级一般在10分钟左右就能够完成，所以大家都觉得汽车的升级时长比较长。” 艾拉比李彬表示。
不过这也是由多方面原因导致的，比如受到汽车内部网络架构和数据传输速度的限制。据艾拉比李彬介绍，目前大多数汽车内部的数据都是通过CAN网络进行传输，而高速CAN的理论传输速率也不过500KB/S。若按照400KB/S的网速计算，1G的升级包下载时间需要45分钟以上，100多兆的升级包下载需要5分钟左右。所以汽车OTA升级中耗时最大的其实是车内数据传输环节，包括升级包的下载及刷写。
“或许有人会说把汽车CAN传输更换成以太网不就好了。这理论上没有错，但关键在于成本，因为汽车的原材料一直在涨价，但汽车产品却一直在降价，在成本上很多主机厂的策略是能控制就控制。而且车辆的行驶环境与电脑、手机的使用环境有着很大的区别，抗干扰、抗尘、高低温和腐蚀都需要去考虑的问题，这绝对不是简简单单地更换CAN总线就可以的。” 艾拉比李彬指出。
“而且根据升级设备不同，待升级设备的操作系统不同，刷写时间也有所不同。比如Andriod系统更新一次大概需要15分钟左右，而无操作系统的零部件，比如说BCM（车身控制系统）基本上是秒级刷写。” 东软睿驰张雷表示。“故在OTA升级过程中，如果升级包很大的话，车端下载升级包所花费的时间也会比较长。”
“另外，汽车电子架构中的各个机构都有自己的核心处理单元，由此导致升级任务执行过程中遇到算力不足的ECU时，升级过程也会被拉长。还有安全问题，由于车载软件升级比手机、电脑升级更关注安全，OTA过程中常常需要做很多的校验，而加密解密也需要时间，也会拉长OTA时间。汽车升级时间长短与升级ECU的数量也有很大的关系。” 艾拉比李彬进一步分析道。
因此当前很多企业在实施OTA升级时，会采取差分更新的方式，以减少将软件包传输到车辆和ECU上的时间，同时减少ECU上的刷写时间。“还有通过并行安装减少更新的总时间，以及使用双分区更新ECU，来减少汽车升级时间。” 哈曼智联科技OTA和网络安全产品管理高级总监Hadas Topor Cohen 表示。
图片来源：1818黄金眼
除了以上几点，目前车辆可进行OTA的内容太少，系统未经同意自行升级，宣传噱头过大等也是导致参与者对OTA难言满意的地方。尤其是部分车企对OTA的过度宣传，已经引起了一些消费者的不满。例如零跑汽车就于今年4月被车主控诉买车已有半年，当初宣传的功能仍未上线，并且还无法给出相关功能具体的实现时间，为此这名车主要求退车。
破解OTA应用痛点，车企该如何发力？
提升用户体验是很重要的一方面，包括强化固件更新能力，优化OTA推送机制及与用户的交互设计，提升汽车OTA升级的场景适应性和稳定性，特别是后面两点直接关系到OTA升级的成功与否，对于车企及相关的技术供应商来说尤为重要。
纵观近两年因OTA升级引发的一系列“乌龙”事件或者车辆故障，很多都是由于推送机制设计不合理所引发，导致用户误操作或者操作不当，例如上面提及的蔚来ES8和零跑S01“趴窝”事件。另一方面，则与用户也有一定的关系，据此次调查很多用户在实施OTA升级时，其实都没有看或者仔细看升级指导书。
对此，东软睿驰张雷认为可通过优化人机交互设计和升级活动的运营来规避，以提升OTA的成功率。“从人机交互设计角度来讲，在OTA升级任务下发前应对车辆状态进行检测， 包括检测内存和存储空间大小是否满足升级包的下载、安装及恢复功能的执行，检测车辆状态、电量、位置等与OTA升级紧密相关的参数，在符合升级条件后再下发任务。在执行更新时，确保车辆的位置不会构成安全隐患，不会对车内人员造成安全隐患，电池有足够的电量支持更新以及可能的回滚过程等，这些是从功能安全角度考虑的。还有一点比较重要，就是确保在更新执行前通知用户有关更新的详细情况，至少包含以下信息：更新要求、变更信息、更新需要的时间、任何必要的安全信息等。”
即使做了上面这些正确的引导，东软睿驰张雷指出仍然会发生OTA失败情况。为此还应考虑正在更新的系统能够从失败或者中断的更新中恢复，这就要求在整个OTA升级流程中必须有重刷以及回滚保护机制，这样即使因为用户操作不当，或者其它不可避免的因素导致OTA升级失败，也不会使车辆处于一种不安全的状态。比如针对网络异常可能导致OTA更新失败的情况，东软睿驰采用了断点续传的解决方案，即一段时间内网络信号不好，暂停本次下载任务，OTA退出升级计划，待网络通畅后再继续下载，完成OTA的升级计划。
哈曼亦进行了类似的部署。“哈曼 OTA允许OEM在每次更新后执行有效性检查，以验证更新是否正确应用于车辆并按预期运行。如果这次更新失败，哈曼OTA将启动回滚，退回到该软件之前的版本。这种更新后检查的机制有助于OEM在每次更新后保证车辆处于安全和工作状态。” 哈曼智联科技 Hadas Topor Cohen 表示。
至于升级活动运营方面，东软睿驰张雷指出主要是指在设计方面充分考虑通知用户升级的时间，并让用户来安排车辆升级的时间。“参考车联网平台的数据，在车辆被使用的高峰期通知效果会更好，针对许久不升级的用户要多次推送通知，必要时通过客户中心给用户打电话，了解用户的具体情况然后再推送升级任务。最后，可以通过一些公共的媒体，以车主的身份来说明升级过程和升级后的一些体验类的文章，让其他车升级并体验新版本的欲望。”
艾拉比李彬的观点与之类似。据悉为了做好交互设计，艾拉比专门将车主APP与车辆升级做了结合，使得车主可以在手机APP上进行相关的操作，完成相关的信息查看和授权动作，保证车辆在用户指定的时间范围内进行升级，从而达到不影响车主使用的目的。因为很多用户在触发OTA升级时，除了借助车内大屏实施相关操作，手机APP也是他们一个很重要的选择。
当然，在此之前有一个很重要的前提，就是确保所推送升级包的正确性和可靠性，这就要求OEM在升级前对软件功能进行充分测试。“为保证升级软件版本的稳定性，供应商将软件包给主机厂之前，自己要做好测试，主机厂在接收到软件包后还会再进行台架测试，甚至是实车测试，确保软件包没有问题再上传到OTA平台上对相关车辆进行升级。” 艾拉比李彬介绍称。
除了充分测试，东软睿驰张雷指出OTA远程升级由于路径比较长，各个环节都有被篡改的可能，并且一旦升级包被窃取，很有可能被逆向分析，以致信息泄露，进而导致不法分子对升级版本进行非法的操作，致使车辆OTA升级后仍有故障，或者带来更大的安全隐患。因此在提高OTA可靠性和稳定性方面，还必须考虑信息安全因素，包括采用健全的双向认证技术，保证在OTA服务器与OTA客户端之间交互上行和下行数据的完整性和正确性，以及下载到的升级包的完整性、合法性，和升级包在车内网传输的保密性。
“此外，还应该考虑到升级过程中的保护机制，比如重试、回滚机制，防断电机制，防变砖机制等。最后，加强OTA的测试验证，从功能测试、性能测试、压力测试、异常测试等多个维度进行系统测试、安全测试、灰度测试，最终实现最可靠、最稳定的OTA升级。”
要想实现这样一个复杂的过程，仅仅依靠车企本身显然有些困难。对此东软睿驰张雷建议传统车企可考虑与行业内汽车电子有深度积累的供应商合作，对整车架构进行调研，根据不同的ECU特性引入专业团队的技术指导，制定属于车企特有的OTA升级方案。长期来看，车企则可以组建专门的OTA团队，以掌握关键的OTA技术，并建立完整的OTA开发流程及企业OTA标准，使整车在整个生命周期具备无线升级的功能，进而建立具有可拓展性的整车OTA体系。
“值得一提的是，正是基于汽车OTA的复杂性与现存痛点，艾拉比为整车厂提供了OTA相关的测试业务。这个测试覆盖了从OTA功能开发验证、功能上线验证、售后支持、客户体验等OTA所有会涉及到的环节。“艾拉比李彬介绍到。据悉，这是艾拉比今年新开展的业务，旨在帮助车企确保OTA系统具备安全、稳定、便捷的升级能力。
当前，智能汽车、新能源汽车的快速发展，使得OTA作为一项重要的支撑性技术也迎来了快速普及，尽管现阶段行业遭遇了一些挑战，但这些其实是所有新技术在应用初期都会面临的问题，长远来看OTA规模化“上车”是大势所趋，且刻不容缓。
