รถยนต์สมัยใหม่ได้รับการอัปเดตซอฟต์แวร์หลายสิบครั้งตลอดอายุการใช้งาน ส่วนใหญ่ส่งมาจากระยะไกลผ่าน T-Box การอัปเดต over-the-air ในระดับยานยนต์เป็นปัญหาด้านการเข้ารหัส การจัดวางหน่วยความจำและการกู้คืนความล้มเหลวไม่แพ้ด้านการเชื่อมต่อ: การอัปเดตที่ล้มเหลวสำหรับคอนโทรลเลอร์ระบบเบรก แบตเตอรี่หรือการเชื่อมต่อไม่ใช่ความไม่สะดวก แต่เป็นเหตุการณ์ด้านความปลอดภัย บทความนี้อธิบายโครงสร้างแคมเปญ OTA ที่ปลอดภัย เหตุใดพาร์ติชัน A/B จึงแทนที่การแฟลชในตำแหน่ง วิธีที่ห่วงโซ่บูตปลอดภัยยึดความน่าเชื่อถือไว้กับฮาร์ดแวร์ และ T-Box อยู่ตรงไหนในฐานะตัวควบคุมหลักด้านการอัปเดตของรถ
กระแสทั่วไปวิ่งจากคลาวด์ถึง ECU เป็นช่วง ๆ: แบ็กเอนด์จัดการกลุ่มรถและบัญชีเวอร์ชัน เซ็นแพ็กเกจอัปเดตแล้วดันการแจ้งเตือนแคมเปญ; T-Box ดาวน์โหลดแพ็กเกจผ่านเครือข่ายเซลลูลาร์หรือ Wi-Fi โดยตรวจสอบจุดตรวจสอบเมื่อแพ็กเกจมาถึง; ตัวจัดการอัปเดตภายในรถตัดสินเวลาตามสภาพรถ (จอดอยู่ กำลังชาร์จ แบตเตอรี่เพียงพอ); และ ECU เป้าหมายถูกแฟลชผ่าน CAN-FD หรืออีเทอร์เน็ตยานยนต์ด้วยลำดับ UDS ที่อธิบายในบทความ CAN/UDS ของเรา เทเลเมตรีรายงานผลของแต่ละรถกลับคลาวด์ ให้ผู้จัดการแคมเปญมีวงจรปิดความสำเร็จ/ความล้มเหลวและความสามารถในการหยุดการทยอยส่งทันทีที่อัตราความผิดปกติเพิ่มขึ้น
อิมเมจ ECU เต็มผ่านเครือข่ายเซลลูลาร์มีต้นทุนสูง แพลตฟอร์มจึงใช้แพ็กเกจส่วนต่าง (เดลต้า): อัลกอริทึม diff แบบไบนารีอย่าง bsdiff เข้ารหัสเฉพาะไบต์ที่เปลี่ยนระหว่างเฟิร์มแวร์เก่าและใหม่ ย่อการอัปเดต 200 MB เหลือไม่กี่เมกะไบต์ รถสร้างอิมเมจเต็มขึ้นใหม่ในเครื่องจากเวอร์ชันปัจจุบันที่ทราบ นั่นคือเหตุผลที่บัญชีเวอร์ชันที่แม่นยำสำคัญ: เดลต้าใช้ได้เฉพาะกับเส้นฐานที่มันถูกสร้างขึ้นมา การดาวน์โหลดทำต่อได้ แบ่งช่วงตามแฟลชว่างและนิยมกำหนดเวลาบนเครือข่ายที่ไม่คิดค่าปริมาณข้อมูล
การจัดวางหน่วยความจำที่ปลอดภัยที่สุดเก็บเฟิร์มแวร์สองสำเนาเต็ม ตามธรรมเนียมคือสลอต A และ B ระบบทำงานจากสลอตแอกทีฟขณะที่การอัปเดตถูกเขียน ตรวจสอบและเตรียมไว้ในสลอตอินแอกทีฟ — รถที่กำลังวิ่งไม่ถูกแตะต้องเลย ในการรีบูตครั้งถัดไป บูตโหลดเดอร์ลองสลอตที่เพิ่งเขียน; หากมันบูตและยืนยันสุขภาพภายในช่วงที่กำหนด มันจะถูกทำเครื่องหมายว่าแอกทีฟ หากมีสิ่งใดล้มเหลว บูตโหลดเดอร์ก็เพียงถอยกลับไปสลอตก่อนหน้าที่ไม่ถูกแตะต้องในการเริ่มครั้งถัดไป ทำให้การอัปเดตที่เสียหายรักษาตัวเองได้ และขจัดช่วงอันตรายที่การแฟลชในตำแหน่งที่ถูกขัดจังหวะจะไม่เหลือเฟิร์มแวร์ที่รันได้เลย
ความปลอดภัยของการอัปเดตในที่สุดตั้งอยู่บนการบูตอย่างปลอดภัย ความน่าเชื่อถือเริ่มต้นที่โค้ด ROM ที่ไม่เปลี่ยนแปลงได้และถ่ายทอดเป็นชั้น ๆ โดยแต่ละชั้นตรวจสอบลายเซ็นดิจิทัลของชั้นถัดไปก่อนรัน:
เนื่องจาก T-Box เป็น ECU เดียวที่เปิดเผยต่ออินเทอร์เน็ตสาธารณะ มันจึงเป็นไฟร์วอลล์ปริมณฑลของรถ การเสริมความมั่นคงประกอบด้วย: TLS ที่ยืนยันตัวตนร่วมกันสำหรับเซสชันคลาวด์; การสื่อสารบนรถที่ปลอดภัย (ข้อความ CAN ที่ยืนยันตัวตนและป้องกันความสดภายใต้ AUTOSAR SecOC) เพื่อให้ T-Box ที่ถูกบุกรุกไม่สามารถสั่ง ECU ภายในได้อย่างอิสระ; การบันทึกตรวจจับการบุกรุก; บัญชีบริการที่มีสิทธิ์น้อยที่สุด; และกระบวนการตอบสนองช่องโหว่ที่รวดเร็ว สอดคล้องกับมาตรฐานอย่าง ISO/SAE 21434 และ UN R155/R156 ซึ่งทำให้การจัดการความมั่นคงปลอดภัยไซเบอร์และความสามารถในการอัปเดตเป็นพันธกรณีการรับรองแบบในหลายตลาด
ECU ต้องไม่สูญเสียพลังงานระหว่างการอัปเดต Weijiang Power จัดหาเซลล์สำรอง NiMH และลิเธียมทนอุณหภูมิกว้างและแพ็กสั่งทำที่ให้ T-Box ผ่านพ้นการขัดจังหวะการจ่ายไฟและทำวงจรแฟลชให้เสร็จหรือยกเลิกอย่างปลอดภัย ด้วยอายุการเก็บยาวนานที่ตรงกับช่วงสนับสนุนการอัปเดตของรถ ส่งการออกแบบรางและระยะเวลาอัปเดตกรณีเลวร้ายมาให้เรา แล้ววิศวกรของเราจะคำนวณขนาดพลังงานยึดไฟเบื้องหลังกลยุทธ์ OTA ที่ปลอดภัยจากความล้มเหลว
