automotive OTA update system test requirement analyze

汽车OTA能有多复杂

汽车OTA升级跟移动终端（如手机）和物联网终端（如智能门锁）的升级一样，都是一种软件升级方式¹，该技术的最初目的是为应对行业内召回法规、产品定期维护和解决客户抱怨²。其中，质量问题强制召回是最主要的原因，因为随着汽车保有量和车内代码量的增长，传统的线下修复模式已经难以为继。

车联网概念渐起的这十多年间，OTA在汽车敏捷转型和软件定义汽车的研发热潮下，逐渐成为汽车必备的产品特性。与其他工控和消费电子产品不一样的是，汽车软件的升级控制对安全性（Safety）和保密性（Security）要求更高³，因为其涉及的用户数量规模、系统复杂性、和应用场景危害，在功能研发阶段有更多的要求。

典型OTA长什么样

汽车OTA是什么，可谓千人千面。

在用户的看来，车主可以说OTA功能是一个简单的App，通过车机大屏或手机提示信息，触发汽车执行软件升级。其实很多情况下升级可以是全自动的，但出于"用户为看得见的东西买单"和"人必须控制机器"方面的考虑，人机交互和手动授权常常是必须的。

站在车厂的角度，可以将OTA系统二分为车端和云端。云端一般由车厂OEM部署在自建的私有云或租用的公有云服务器上，车端则涉及车厂所生产的众多汽车品牌、车型、版本，由OEM定点选型的供应商按批次供货装配。ICT产业中作为管道的基站设备和无线通信服务商，作为成熟稳定的基础设施存在，在不出国门的情况下，并没有太大的选择空间。产品能做到像水一样无处不在又不可或缺，无疑是最成功的。安全可靠的OTA之于汽车软件，未来可能会像ICT之于移动互联网，数字货币之于电子商务一样重要。

而对于车内终端供应商来说，车上OTA相关的控制器终端可以进一步分为两类⁴：主控节点（Master ECU）, 目标节点（Target ECU）。实现整车所有控制器的OTA是有难度的，早期OTA往往只是个别软件迭代速度比较快的ECU才需要。需要注意的是，ECU节点在软件实现和部署上，与控制器MCU/CPU硬件芯片中的Core核对应，因此一个控制器硬件盒体内，可能有多个网络拓扑节点。如TBOX常常即作为Master主控节点分发升级包，也作为Target目标节点被后台升级。OTA主控节点一般位于车内网关上，按照DoIP的定义，负责与车外进行诊断通讯的网关，称为边缘网关（Edge Gateway）。在这里，主控节点或边缘网关供应商，在整个OTA车载系统中发挥了核心作用。

从系统配置维护人员的角度来看，OTA就是一系列软件和数据配置更新的过程，从云端传递到车端的镜像文件内容⁵，既可以是针单个控制器的软件包，也可以是整车系统软件包。如果将车内控制系统按功能域（Domain）或功能安全（FunctionalSafety）相关来划分⁶，还可以是针对EEA架构子系统的软件包。关键的是，对于在后台服务器打交道的维护人员来说，软件包之间是有复杂配置选型和版本依赖的关系网络