OTA正在成為智能汽車不可或缺的關鍵能力，其具備的減少召回成本、快速響應安全需求、提升用戶體驗等優勢，可以通過遠程實現功能的持續迭代，在發現軟件故障或漏洞的時候，及時快速地實現線上召回，極大地減少車企線下服務壓力和運營成本。

然而“OTA升級”這件事情本身，也不是那么容易的事情，部分新勢力造車因升級在路上“趴窩”的事情也不在少數。隨著汽車智能化的發展，主機廠以及消費者對OTA的期待不斷上升，為了給車主更好的升級體驗，很多主機廠宣布實現“無感化”OTA升級。2021廣州車展上，小鵬汽車發布了最新一代的 X-EEA3.0 電子電氣架構。該電子電氣架構的域控制器均作內存分區，一個區用于升級，一個區用于車輛正常運行，從而在升級期間不影響車輛使用，實現了無感化OTA;威馬EX5發布實現了娛樂系統的無感OTA，在升級過程中，對用戶駕駛體驗的影響可以降到最低;福特EVOS擁有了遠程OTA無感升級的能力，激起了不少汽車迷的好奇心。相對不打擾用戶的情況下，讓車端軟件實現近乎無感的升級，無感升級技術是怎樣做到的?今天我們來聊一聊無感知升級這件事。

1、什么是無感升級?

“無感知升級”，目前沒有專業的學術定義。要想理解“無感知升級”，可以從“無縫升級”入手。所謂的“無縫升級”，英文即seamless update。這個概念，在Android領域有廣泛的共同認知。我們可以這么理解：傳統的安卓設備升級，有一個Android主系統和一個Recovery系統。Android主系統負責提供系統主要的應用功能 ，并完成升級包的下載與部分校驗工作，然后進入Recovery系統，在Recovery系統內完成對系統的升級。但是，這里存在的問題就是，一旦Recovery系統內升級出現問題，就會導致系統存在不可用的風險。解決方案之一就是引入A/B系統。可以這樣理解，設備具備A/B兩個系統，在同一個時刻，只有一個系統處于激活正常工作的狀態，另一個系統處于非激活的工作狀態。假設當前A系統處于激活態。這樣，如果系統性能良好，我們可以實現在A系統正常提供各種應用功能的情況下，去升級B系統。即使B系統升級失敗，也不會影響A系統正常提供功能。然后在合適的時機，例如跟隨整車電源模式切換而重置設備，切換至新的升級成功的B系統。A/B系統切換方式，從用戶使用的感受來看，僅經歷了一次重啟。在重啟過程中即完成了軟件系統升級，被定義為“無縫升級”，這也是部分主機廠“無感知升級”的基礎實現模式。

2、無感升級的過程

車輛OTA遠程升級一般包含“版本檢查”、“下載”、“安裝”和“激活”四大流程。“無感下載”：如果車輛自動與OTA后臺進行版本比對、獲取升級任務、并自動完成下載，因此用戶對“下載無感知”。“無感安裝“：A/B系統切換的過程(從A更新至B系統的過程)，這一過程是在車輛運行時執行完成的，因此用戶對OTA遠程“安裝無感知”。最后，車輛重新上電時，設備完成系統切換(這期間就涉及到需要客戶授權、確認升級等)，這一過程是激活過程，這一過程是能感知到的過程。可見，對具備“無縫升級”能力的設備升流程而言，用戶能感知到的過程，僅為新軟件系統“激活”的過程。耗時可能達數十分鐘的B系統切換。“無感升級”，可以大大縮短集成了復雜功能的域控設備的車輛用戶可感知的升級時間，減小了駐車升級時對車輛電量的消耗、縮短了客戶的車輛不可用時間，也保證了系統本身始終的可用性。

3、無感升級的應用

目前，我們看到的“無感升級”，還局限于具有Linux、Android等系統的設備。這些設備系統，在支持“無縫升級”的能力之后，就需要去考慮如何在保證設備可正常提供功能的情況下，實現對非激活系統的更新。事實上，“無縫升級”已經在很多車機系統、ADAS系統上都獲得了支持，只不過當前很多主機廠仍是在車輛駐車后，去執行對B區域的更新。而“無縫升級”向“無感升級”的跨越，即是在車輛運行時執行完成B系統的升級過程，這對設備系統的性能與安全性也提出了一定要求。目前市場上多數案例還是集中體現在座艙域。隨著整車電子架構向域控架構、區域控制架構演進，核心的控制設備，逐漸都會引入“無縫升級”能力。未來，為了追求更短的整車升級時間、為客戶提供更好的升級與功能使用體驗，也會成為大家追求的一個技術方向。

4、無感升級在SOTA和FOTA上有什么區別?

對于SOTA、FOTA的定義可以籠統的理解為：SOTA指系統“軟件”層面的升級，即不影響設備系統運行環境本身，可以在系統持續提供業務功能的情況下，完成對“軟件”的升級。例如車機上的各類Android應用軟件。而FOTA指系統的“固件”升級，即影響設備系統本身，“固件”的損壞會導致系統主體功能不可用。在SOTA層面，“無感升級”目前得到了較多的應用，這是由Android等系統本身的系統特性，所帶來的優勢。一般在經歷應用本身重啟，或者跟隨系統一起重啟之后，新的軟件版本即可被激活使用。而在FOTA層面，除了需要實現針對域控等智能設備從“無縫升級”向“無感升級”的跨越，另一個不可忽視的就是傳統的電子控制單元ECU的“無感升級”。對于這一類ECU，一般包含Bootloader，Application與Calibration。Bootloader提供了ECU刷寫軟件與標定的能力。一方面，受限于成本考量等因素，ECU一般不會具備“A/B”區域環境，即升級時，需要將軟件與標定擦除，然后重新寫入;另一方面，這類ECU一般是通過CAN或以太網總線使用診斷的方式進行刷寫，即數據包的傳輸與寫入是在同一時間段內反復執行的，為了保證刷寫的成功率、提升診斷數據傳輸效率，需要靜默車輛總線常規通信信號，這會導致整車零件之間丟失通信基礎，眾多功能無法使用。因此，這一類ECU的升級，往往需要駐車、鎖定車輛狀態、進入特定的OTA升級模式等，即車輛在升級過程中是無法使用的，升級過程對于車輛用戶而言是“有感”的。想要讓此類ECU的升級行為也變得“無感”，一方面需要解決數據包的傳輸問題，另一方面，ECU本身要支持類似于“A/B”的系統特性，提供備份冗余，或者實現軟件內容A/B區域的地址映射。雖然技術上，已經有芯片提供了成熟的解決方案，但是在“缺芯”的大環境背景下，價格問題更加凸顯，應用的進展較慢。所以一方面我們看到宣傳支持“無感升級”的車輛，整車升級時間，仍需要30分鐘左右。其實就是節省了具備“無縫升級”能力的設備的B系統升級時間，但是FOTA時常規ECU進入Bootloader的時間暫時仍會拉長整體的升級時間。另一方面，車輛制造商短期內，要善用“時間”換“空間”。即提供預約升級、手機遠控升級等方式，將升級時間安排在用戶不用車的時間段內，節省引入設備額外存儲空間的成本，緩解車輛升級時不可用可能給客戶帶來的用車焦慮。

最后

“無感升級”的實現，依賴零部件自身需要具備“無縫升級”的能力。針對具備“無縫升級”的零件，艾拉比的差分升級程序，支持“In Place”與“A/B”兩種升級模式。無論是Hypervisor架構下的QNX + Android系統，還是Android系統的動態分區特性，都能得到良好的支持。另外，從整車OTA解決方案來看，艾拉比一方面支持為具備“無感升級”的零件，設定獨立的升級過程，保證升級無感、安全地執行，另一方面也支持為不具備“無感升級”的零件，提供并行刷新、回滾等升級策略，保證升級成功率、提升升級效率。

審核編輯：湯梓紅