智能網(wǎng)聯(lián)汽車OTA測(cè)試案例分析及對(duì)策研究

唐 波，賴怡聰，李樂(lè)言*,3

智能網(wǎng)聯(lián)汽車OTA測(cè)試案例分析及對(duì)策研究

唐 波1，賴怡聰2，李樂(lè)言*2,3

（1.西安電子科技大學(xué)廣州研究院，廣東 廣州 510555； 2.工業(yè)和信息化部電子第五研究所，廣東 廣州 511370； 3.智能產(chǎn)品質(zhì)量評(píng)價(jià)與可靠性保障技術(shù)工業(yè)和信息化部重點(diǎn)實(shí)驗(yàn)室，廣東 廣州 511370）

智能網(wǎng)聯(lián)汽車的規(guī)模與日俱增，軟件更新的需求也日益迅速，遠(yuǎn)程升級(jí)（OTA）技術(shù)為智能網(wǎng)聯(lián)汽車的大規(guī)模更新提供了解決辦法。文章從OTA的技術(shù)框架、安全技術(shù)和相關(guān)法規(guī)三個(gè)方面對(duì)OTA技術(shù)進(jìn)行了概述，然后基于R156和《汽車軟件升級(jí)通用技術(shù)要求》介紹了測(cè)試方法和測(cè)試案例。通過(guò)對(duì)測(cè)試案例進(jìn)行分析，提出了存在的問(wèn)題并給出了合理的對(duì)策。最后從智能網(wǎng)聯(lián)汽車生產(chǎn)企業(yè)、OTA升級(jí)管理體系和第三方檢測(cè)機(jī)構(gòu)三個(gè)角度對(duì)網(wǎng)聯(lián)汽車OTA升級(jí)安全技術(shù)提出了合理的建議。

遠(yuǎn)程升級(jí)技術(shù)；軟件升級(jí)；法規(guī)政策；合規(guī)測(cè)試；安全測(cè)試

遠(yuǎn)程升級(jí)（Over The Air, OTA）是通過(guò)移動(dòng)通信的空中接口實(shí)現(xiàn)對(duì)系統(tǒng)和應(yīng)用程序遠(yuǎn)程管理的技術(shù)[1]。在汽車電動(dòng)化、智能化、網(wǎng)聯(lián)化、共享化的背景下，軟件定義汽車近年來(lái)成為新的行業(yè)共識(shí)。隨著智能網(wǎng)聯(lián)汽車的快速發(fā)展，軟件更新的需求日益頻繁，傳統(tǒng)的軟件升級(jí)技術(shù)難以滿足快速高效的軟件更新需求，OTA已成了定義傳統(tǒng)汽車和智能汽車的分水嶺[2]。特斯拉是最早采用OTA技術(shù)對(duì)汽車進(jìn)行遠(yuǎn)程升級(jí)的車企，開(kāi)創(chuàng)了汽車OTA的先河， OTA不僅可以帶來(lái)更便捷的車輛升級(jí)途徑，也讓消費(fèi)者感受到更加智能便捷的用車體驗(yàn)[3]。此外，OTA技術(shù)在車輛量產(chǎn)后可降低車輛的召回成本，實(shí)現(xiàn)對(duì)車輛軟件和車輛數(shù)據(jù)的統(tǒng)一管理，提高售后服務(wù)效率和質(zhì)量[4]。同時(shí)，OTA 升級(jí)也逐漸成為汽車企業(yè)在售后市場(chǎng)交付新功能的主要手段。

1 OTA概述

1.1 OTA技術(shù)框架

汽車軟件更新的本質(zhì)是將編譯好的軟件或者數(shù)據(jù)，傳輸?shù)诫娮涌刂茊卧‥lectronic Control Unit, ECU），由ECU端將其寫入指定的存儲(chǔ)介質(zhì)中替換原有軟件數(shù)據(jù)，以實(shí)現(xiàn)預(yù)期的特定功能或者執(zhí)行更新。為了準(zhǔn)確、安全、可靠地完成ECU軟件的更新，OTA升級(jí)系統(tǒng)需要一個(gè)云端管理系統(tǒng)對(duì)軟件、車輛等相關(guān)升級(jí)對(duì)象進(jìn)行管理，車端需要一個(gè)與云端系統(tǒng)對(duì)接的系統(tǒng)完成軟件數(shù)據(jù)的接收和分發(fā)工作，并保證無(wú)專業(yè)人員操作的情況下軟件升級(jí)安全、可靠地完成。

圖1為典型的OTA升級(jí)系統(tǒng)框圖，該系統(tǒng)包含三個(gè)基本要素，即OTA云服務(wù)平臺(tái)、車-云通信鏈路、車端OTA系統(tǒng)。其中，OTA云服務(wù)平臺(tái)主要功能包括OEM云對(duì)接、車型/車輛/ECU版本信息管理、升級(jí)軟件管理、升級(jí)策略創(chuàng)建、ECU關(guān)聯(lián)升級(jí)配置、升級(jí)模式配置、發(fā)布等[5]；車-云通信鏈路包括車輛基礎(chǔ)聯(lián)網(wǎng)功能，如：4G、5G、WiFi以及相應(yīng)的通信應(yīng)用層協(xié)議；車端OTA系統(tǒng)由OTA升級(jí)主控、被升級(jí)的ECU以及實(shí)現(xiàn)兩者之間通信的網(wǎng)關(guān)和車內(nèi)ECU的通信網(wǎng)絡(luò)組成，如控制器局域網(wǎng)（Controller Area Network, CAN）總線技術(shù)、局域互聯(lián)網(wǎng)絡(luò)（Local Interconnect Network, LIN）總線和車載以太網(wǎng)等。

圖1 OTA升級(jí)系統(tǒng)框圖

1.2 OTA安全技術(shù)

OTA更新導(dǎo)致軟件更新的入口暴露網(wǎng)絡(luò)中，加大了汽車網(wǎng)絡(luò)安全的攻擊面，引入新的風(fēng)險(xiǎn)。OTA軟件更新作為修復(fù)網(wǎng)絡(luò)安全缺陷的重要手段，也可能成為攻擊者重要攻擊途徑。整個(gè)OTA系統(tǒng)的安全需要從OTA云端到OTA終端以及OTA對(duì)象的整個(gè)鏈路進(jìn)行全方位的防護(hù)，各個(gè)環(huán)節(jié)都采用適宜的加密機(jī)制來(lái)提升整個(gè)升級(jí)過(guò)程的安全性，包括OTA云端的權(quán)限限制、證書驗(yàn)證、簽名驗(yàn)證和權(quán)限驗(yàn)證[6]。除功能軟件自身可能存在的安全問(wèn)題外，OTA更新引起的安全風(fēng)險(xiǎn)主要包括三類：非法軟件安裝、拒絕更新服務(wù)和更新文件泄露，安全風(fēng)險(xiǎn)以及相對(duì)應(yīng)的措施如表1所示。

表1 OTA升級(jí)風(fēng)險(xiǎn)以及應(yīng)對(duì)措施

安全風(fēng)險(xiǎn)應(yīng)對(duì)措施 拒絕更新服務(wù)服務(wù)器欺騙：對(duì)服務(wù)器身份認(rèn)證ECU欺騙：對(duì)ECU身份認(rèn)證 非法軟件安裝數(shù)字簽名對(duì)更新包身份認(rèn)證安全服務(wù)器對(duì)OTA更新系統(tǒng)的實(shí)體身份認(rèn)證構(gòu)建車端OTA和OTA服務(wù)器之間的安全通道（比如雙向TLS和Open VPN技術(shù)等）軟件更新后進(jìn)行加密身份驗(yàn)證以保證其合法性 更新文件泄露對(duì)原始更新包的簽名和加密后更新包的簽名進(jìn)行身份認(rèn)證

1.3 OTA相關(guān)法規(guī)

OTA提供遠(yuǎn)程軟件升級(jí)，為車企和車主提供了便利。然而在快速普及的過(guò)程中，也發(fā)生了一系列有關(guān)OTA的亂象，有的車企通過(guò)OTA篡改車輛的系統(tǒng)，掩蓋產(chǎn)品缺陷；有的車企依靠OTA升級(jí)制造“超前宣傳”的噱頭，來(lái)誤導(dǎo)消費(fèi)者；有的車企未經(jīng)過(guò)車主允許，通過(guò)OTA強(qiáng)制讀取用戶個(gè)人信息。在OTA升級(jí)隱患逐漸顯露的環(huán)境下，工信部高度重視，出臺(tái)了一系列政策文件[7]。

2021年7月，工業(yè)和信息化部發(fā)布了《關(guān)于加強(qiáng)智能網(wǎng)聯(lián)汽車生產(chǎn)企業(yè)及產(chǎn)品準(zhǔn)入管理的意見(jiàn)》[8]，2022年4月，發(fā)布了《關(guān)于開(kāi)展汽車軟件在線升級(jí)備案的通知》[9]，對(duì)汽車生產(chǎn)企業(yè)實(shí)施軟件升級(jí)以及OTA升級(jí)活動(dòng)提出了備案的要求。

2021年1月，聯(lián)合國(guó)歐洲經(jīng)濟(jì)委員會(huì)在世界車輛法規(guī)協(xié)調(diào)論壇[10]上頒布了《關(guān)于軟件升級(jí)和軟件升級(jí)管理系統(tǒng)的車輛批準(zhǔn)統(tǒng)一規(guī)定》（以下簡(jiǎn)稱R156），該法規(guī)主要從流程體系與技術(shù)需求上對(duì)軟件更新提出了要求。另外，為進(jìn)一步將汽車軟件升級(jí)管理相關(guān)要求進(jìn)行規(guī)范、具體、細(xì)化，全國(guó)汽車標(biāo)準(zhǔn)化技術(shù)委員會(huì)組織制定《汽車軟件升級(jí)通用技術(shù)要求》強(qiáng)制標(biāo)準(zhǔn)，該標(biāo)準(zhǔn)參考了R156法規(guī)，涉及軟件升級(jí)管理體系要求、車輛要求、車輛試驗(yàn)方法等，并針對(duì)R156法規(guī)缺乏試驗(yàn)方法的不足進(jìn)行了完善。

2 OTA升級(jí)安全測(cè)試

目前，OTA準(zhǔn)入測(cè)試是基于《汽車軟件升級(jí)通用技術(shù)要求》和R156兩項(xiàng)標(biāo)準(zhǔn)展開(kāi)的，其中部分典型測(cè)試項(xiàng)目如表2所示，下文重點(diǎn)介紹幾個(gè)典型的測(cè)試案例、采取的測(cè)試方法以及針對(duì)測(cè)試過(guò)程提出的問(wèn)題。

表2 部分典型測(cè)試項(xiàng)

測(cè)試項(xiàng)測(cè)試項(xiàng)描述前置條件評(píng)判標(biāo)準(zhǔn) 升級(jí)失敗處理若軟件升級(jí)失敗或中斷，應(yīng)確保將系統(tǒng)恢復(fù)到以前的可用版本或?qū)④囕v置于安全狀態(tài)制造車輛升級(jí)失敗場(chǎng)景能通過(guò)車載診斷系統(tǒng)或者其他方式讀取軟件版本號(hào)觸發(fā)車輛升級(jí)失敗場(chǎng)景，軟件版本與上一版本保持一致，或車輛處于安全狀態(tài)，則測(cè)試通過(guò)；否則不通過(guò) 升級(jí)包完整性應(yīng)保護(hù)軟件更新的完整性，以合理地防止其受到損害并合理地避免無(wú)效更新提供正常的軟件升級(jí)包提供升級(jí)包緩存位置接入車機(jī)或的方式和升級(jí)包緩存位置對(duì)篡改后的升級(jí)包執(zhí)行升級(jí)，若篡改后的升級(jí)包不能通過(guò)校驗(yàn)，則通過(guò)；否則不通過(guò) 升級(jí)影響車輛安全若執(zhí)行軟件升級(jí)可能影響車輛安全，升級(jí)過(guò)程中，應(yīng)通過(guò)技術(shù)手段確保車輛安全提供升級(jí)執(zhí)行影響車輛安全的場(chǎng)景（坡道執(zhí)行剎車相關(guān)的ECU升級(jí)任務(wù)）分別正常執(zhí)行升級(jí)任務(wù)和升級(jí)過(guò)程中斷任務(wù)，升級(jí)過(guò)程中電子手剎正常工作，不發(fā)生溜車現(xiàn)象，則通過(guò)，否則不通過(guò)

2.1 升級(jí)包真實(shí)性和完整性校驗(yàn)

對(duì)升級(jí)包的真實(shí)性和完整性校驗(yàn)是為了確保在車輛上僅可執(zhí)行經(jīng)過(guò)認(rèn)證和完整性檢查的軟件升級(jí)包，防止軟件包被破壞并阻止無(wú)效的更新。真實(shí)性主要是針對(duì)驗(yàn)簽證書，完整性則主要針對(duì)軟件升級(jí)包進(jìn)行測(cè)試。測(cè)試步驟如圖 2所示。

R156升級(jí)包真實(shí)性和完整性要求為保護(hù)升級(jí)包的真實(shí)性和完整性，合理地防止其受到損害和防止無(wú)效軟件升級(jí)。測(cè)試過(guò)程中，各第三方檢測(cè)技術(shù)機(jī)構(gòu)測(cè)試方法各不相同。比如真實(shí)性檢驗(yàn)這一項(xiàng)，有的是利用第三方軟件生成與升級(jí)包毫不相關(guān)的驗(yàn)簽證書，然后使用Android調(diào)試橋（Android Debug Bridge, ADB）push命令上傳到車機(jī)，執(zhí)行升級(jí)，這似乎聽(tīng)起來(lái)不太合理，但是法規(guī)沒(méi)有明確規(guī)定所使用的測(cè)試方法。本文所提出的測(cè)試方法是利用同一輛車不同ECU部件的升級(jí)包驗(yàn)簽證書或者同一ECU部件不同版本的驗(yàn)簽證書進(jìn)行驗(yàn)證，這相比第三方軟件生成的毫不相關(guān)的驗(yàn)簽證書來(lái)驗(yàn)證，真實(shí)性更加合理。關(guān)于升級(jí)包的完整性校驗(yàn)，則采用的是對(duì)升級(jí)包數(shù)據(jù)分別進(jìn)行增加、刪除和改動(dòng)的操作，操作的過(guò)程中盡可能保證對(duì)升級(jí)包的數(shù)據(jù)改動(dòng)較小。

圖2 升級(jí)包真實(shí)性和完整性校驗(yàn)步驟

2.2 升級(jí)影響駕駛安全測(cè)試

R156對(duì)升級(jí)影響駕駛安全這一項(xiàng)要求在執(zhí)行軟件升級(jí)中，需要確保車輛不能被駕駛，確保駕駛員無(wú)法使用影響車輛安全或成功執(zhí)行更新的車輛功能。根據(jù)R156的要求，升級(jí)影響駕駛安全的測(cè)試主要看在升級(jí)過(guò)程中是否能執(zhí)行掛擋、解除電子剎車和駕駛車輛。

本文在OTA安全升級(jí)測(cè)試過(guò)程中發(fā)現(xiàn)由于各家智能網(wǎng)聯(lián)汽車廠商甚至同一品牌的智能網(wǎng)聯(lián)汽車升級(jí)邏輯不相同。大致可以分為兩類：一類是升級(jí)過(guò)程不可自主中斷，即在執(zhí)行升級(jí)過(guò)程中，無(wú)法通過(guò)踩剎車解除電子手剎和掛擋等操作中斷升級(jí)，車輛不能被駕駛；第二類升級(jí)過(guò)程可自主中斷，即在升級(jí)過(guò)程通過(guò)執(zhí)行掛擋、上電和解除電子剎車等操作會(huì)中斷OTA升級(jí)，中斷后駕駛功能恢復(fù)正常。

升級(jí)過(guò)程不可自主中斷的車輛一般有兩種強(qiáng)制中斷方式，一是構(gòu)造致使升級(jí)失敗的升級(jí)包，二是通過(guò)對(duì)整車斷電。構(gòu)造致使升級(jí)失敗的升級(jí)包在現(xiàn)實(shí)生活場(chǎng)景中沒(méi)有參考意義。而通過(guò)整車斷電的方式中斷升級(jí)，如果汽車OTA升級(jí)不支持AB升級(jí)方案或者沒(méi)有配置回滾，則很可能導(dǎo)致車輛無(wú)反應(yīng)。升級(jí)不可自主中斷的升級(jí)邏輯符合R156在升級(jí)過(guò)程中確保車輛不能被駕駛和影響車輛的升級(jí)的要求。而升級(jí)過(guò)程可以自主中斷卻更加符合用戶的體驗(yàn)以及突發(fā)情況的應(yīng)對(duì)。

對(duì)于升級(jí)影響駕駛安全這一項(xiàng)的建議是在升級(jí)過(guò)程中應(yīng)在屏幕設(shè)置取消升級(jí)的選項(xiàng)，并且在取消升級(jí)后軟件版本能回滾到上一版本，以應(yīng)對(duì)緊急情況下車輛需要被駕駛的場(chǎng)景。同時(shí)升級(jí)過(guò)程中執(zhí)行上電、掛擋和解除電子手剎的操作不能中斷升級(jí)過(guò)程，以防止誤操作致使升級(jí)失敗。這樣既保證了升級(jí)過(guò)程能使用戶應(yīng)對(duì)突發(fā)情況，也防止誤操作中斷升級(jí)對(duì)車輛駕駛安全造成威脅。

2.3 升級(jí)影響車輛安全測(cè)試

OTA升級(jí)標(biāo)準(zhǔn)中并未定義升級(jí)影響車輛安全場(chǎng)景，構(gòu)建升級(jí)影響車輛安全測(cè)試場(chǎng)景主要從外部安全環(huán)境和車輛內(nèi)部安全場(chǎng)景兩個(gè)方面考慮。本文在外部測(cè)試安全環(huán)境采用的是斜坡場(chǎng)景，測(cè)試環(huán)境如圖 3所示。

車輛內(nèi)部安全場(chǎng)景采取的是對(duì)車輛剎車和穩(wěn)定系統(tǒng)有關(guān)的ECU部件執(zhí)行OTA升級(jí)，比如車身電子穩(wěn)定控制系統(tǒng)（Electronic Stability Con- troller, ESC）。升級(jí)影響車輛安全測(cè)試案例是在坡道針對(duì)車輛的ESC，分別在升級(jí)成功和升級(jí)失敗兩種情況下執(zhí)行升級(jí)任務(wù)，觀察電子剎車是否正常工作以及是否發(fā)生溜坡的行為。測(cè)試步驟如圖 4所示。

圖3 坡道執(zhí)行ESC升級(jí)任務(wù)

圖4 升級(jí)影響車輛安全測(cè)試步驟

升級(jí)影響車輛安全這一測(cè)試項(xiàng)，《汽車軟件升級(jí)通用技術(shù)》要求若執(zhí)行軟件升級(jí)可能影響車輛安全，在執(zhí)行軟件升級(jí)中，應(yīng)通過(guò)技術(shù)手段確保車輛安全。

在升級(jí)影響車輛安全測(cè)試項(xiàng)目中，發(fā)現(xiàn)某測(cè)試車輛是升級(jí)過(guò)程不可自主中斷的類型。在測(cè)試過(guò)程中把車輛停在坡道，通過(guò)整車斷電的方式強(qiáng)制中斷升級(jí)，斷電重啟后車輛提示升級(jí)失敗，電子手剎正常工作，未發(fā)生溜坡的現(xiàn)象。但是對(duì)汽車進(jìn)行上電、踩剎車、解除電子手剎和掛擋的操作之后，所有的駕駛功能失效，汽車電子手剎、掛擋等不能正常工作，即出現(xiàn)車輛無(wú)反應(yīng)的情況，這對(duì)于車主來(lái)說(shuō)是一個(gè)很棘手的問(wèn)題。而且這種情況在實(shí)際中是有可能發(fā)生的，比如升級(jí)過(guò)程中車主誤操作使整車斷電，或者車輛出現(xiàn)接觸不良使整車斷電。汽車的本質(zhì)是為用戶服務(wù)的，這個(gè)測(cè)試從用戶體驗(yàn)和邏輯上來(lái)說(shuō)是不合理的。然而，這項(xiàng)測(cè)試是符合法規(guī)的，在升級(jí)失敗處理這一項(xiàng)中要求若軟件升級(jí)失敗或中斷，應(yīng)確保將系統(tǒng)恢復(fù)到以前的可用版本或?qū)④囕v置于安全狀態(tài)。車輛雖然因?yàn)閿嚯娭率股?jí)中斷無(wú)反應(yīng)，但是整個(gè)過(guò)程未發(fā)生溜坡的現(xiàn)象，保證了車輛的安全。

本文建議無(wú)論什么情況下，通過(guò)OTA升級(jí)把車輛“刷成磚”的情況都是不被允許的，應(yīng)當(dāng)通過(guò)配置回滾、雙分區(qū)升級(jí)方案等措施來(lái)避免這種情況的發(fā)生。

3 展望與建議

3.1 企業(yè)應(yīng)建立OTA升級(jí)分級(jí)安全保障機(jī)制

目前OTA升級(jí)還沒(méi)有完整的OTA升級(jí)分類安全保障機(jī)制，企業(yè)應(yīng)當(dāng)細(xì)化安全保障能力，比如按照控制級(jí)別（車輛操控類、輔助控制類）、服務(wù)級(jí)別（操控服務(wù)類、非操控服務(wù)類）和管理級(jí)別從高到低的優(yōu)先級(jí)執(zhí)行安全保障。其中制動(dòng)系統(tǒng)安全是底線，應(yīng)最大限度保障制動(dòng)系統(tǒng)安全，比如升級(jí)過(guò)程中升級(jí)ESC部件（制動(dòng)相關(guān)部件）的時(shí)候，無(wú)論是正常執(zhí)行升級(jí)或者升級(jí)失敗都應(yīng)當(dāng)保障車輛制動(dòng)系統(tǒng)正常工作。

3.2 第三方檢測(cè)機(jī)構(gòu)能力建設(shè)

目前關(guān)于OTA升級(jí)暫無(wú)有效的監(jiān)管支撐技術(shù)，特別是針對(duì)OTA升級(jí)安全評(píng)估技術(shù)，建議第三方技術(shù)檢測(cè)機(jī)構(gòu)構(gòu)建OTA升級(jí)安全技術(shù)評(píng)估能力，推動(dòng)第三方技術(shù)檢測(cè)機(jī)構(gòu)聯(lián)合智能網(wǎng)聯(lián)汽車企業(yè)在OTA升級(jí)技術(shù)安全評(píng)估方面開(kāi)展試點(diǎn)工作，測(cè)試內(nèi)容包括OTA升級(jí)相關(guān)功能測(cè)試、安全性測(cè)試、穩(wěn)定性測(cè)試等。

第三方檢測(cè)機(jī)構(gòu)根據(jù)OTA相關(guān)測(cè)試積累的測(cè)試經(jīng)驗(yàn)，典型的測(cè)試案例，測(cè)試中特別注重的問(wèn)題向工信部等部門進(jìn)行提議，形成規(guī)范的測(cè)試案例，將測(cè)試步驟流程化、標(biāo)準(zhǔn)化和規(guī)范化。

3.3 加快OTA升級(jí)管理體系建設(shè)

目前我國(guó)有關(guān)OTA升級(jí)的標(biāo)準(zhǔn)都還處于草案階段，目前需要明確智能網(wǎng)聯(lián)汽車軟件升級(jí)相關(guān)功能要求、安全要求及測(cè)試規(guī)范，保障軟件的升級(jí)安全與高效。我國(guó)相關(guān)政府機(jī)構(gòu)應(yīng)當(dāng)聯(lián)合第三方檢測(cè)機(jī)構(gòu)開(kāi)展智能網(wǎng)聯(lián)汽車軟件升級(jí)安全監(jiān)管技術(shù)研究和安全監(jiān)管平臺(tái)試點(diǎn)，加快推動(dòng)軟件升級(jí)相關(guān)標(biāo)準(zhǔn)與規(guī)范制定，探索建立軟件升級(jí)數(shù)據(jù)監(jiān)管平臺(tái)，組織開(kāi)展監(jiān)管技術(shù)研究，細(xì)化企業(yè)保障能力要求和軟件升級(jí)功能測(cè)試要求，加強(qiáng)對(duì)軟件升級(jí)管理和監(jiān)督。同時(shí)，應(yīng)該加快智能網(wǎng)聯(lián)汽車軟件升級(jí)分類體系與判定技術(shù)條件研制，完善軟件升級(jí)安全評(píng)估與測(cè)試體系。

其次，由于R156和《汽車軟件升級(jí)通用技術(shù)要求》都沒(méi)有細(xì)化測(cè)試標(biāo)準(zhǔn)以及測(cè)試案例，導(dǎo)致第三方檢測(cè)機(jī)構(gòu)對(duì)標(biāo)準(zhǔn)的解讀不一致，所采用的測(cè)試案例、測(cè)試方法不同，對(duì)測(cè)試案例通過(guò)的判定條件也不相同，可能出現(xiàn)誤判的情況。所以應(yīng)當(dāng)建立專家評(píng)審制度，對(duì)有檢測(cè)資質(zhì)的第三方檢測(cè)機(jī)構(gòu)所提出的測(cè)試案例、測(cè)試方法和判定條件等進(jìn)行評(píng)估，評(píng)估判定條件是否符合邏輯和規(guī)范要求。

4 總結(jié)

目前關(guān)于OTA升級(jí)的相關(guān)標(biāo)準(zhǔn)和法規(guī)并不完善，也很少有關(guān)于OTA測(cè)試案例的研究。本文首先從OTA的總體技術(shù)框架、OTA升級(jí)中所使用的安全技術(shù)以及與OTA相關(guān)的法規(guī)等方面對(duì)OTA進(jìn)行介紹，然后基于R156和《汽車軟件升級(jí)通用技術(shù)要求》所采用的測(cè)試案例，為OTA備案測(cè)試提供參考。通過(guò)對(duì)測(cè)試案例的分析，發(fā)現(xiàn)車企或者供應(yīng)商在開(kāi)發(fā)OTA系統(tǒng)存在不合理的地方，以及法規(guī)對(duì)OTA升級(jí)的要求和實(shí)際使用需求不符合的地方，并給出了合理的建議。最后從智能網(wǎng)聯(lián)汽車生產(chǎn)企業(yè)、第三方檢測(cè)機(jī)構(gòu)和OTA升級(jí)管理體系三個(gè)角度對(duì)網(wǎng)聯(lián)汽車OTA升級(jí)安全技術(shù)提出了對(duì)策與建議。

[1] 李立安,趙幗娟,任廣樂(lè).OTA實(shí)現(xiàn)方案及汽車端設(shè)計(jì)分析[J].汽車實(shí)用技術(shù),2020,45(14):16-19.

[2] 陳茂利.工信部出臺(tái)監(jiān)管標(biāo)準(zhǔn)汽車OTA升級(jí)告別野蠻生長(zhǎng)[N].中國(guó)經(jīng)營(yíng)報(bào),2022-04-25(C06).

[3] 張倩.一種OTA汽車行業(yè)應(yīng)用的整體框架[J].汽車實(shí)用技術(shù), 2020,45(11):100-102.

[4] 王棟梁,湯利順,陳博,等.智能網(wǎng)聯(lián)汽車整車OTA功能設(shè)計(jì)研究[J].汽車技術(shù),2018(10):29-33.

[5] 武智,劉天宇,賈先鋒.智能網(wǎng)聯(lián)汽車OTA升級(jí)安全設(shè)計(jì)[J].汽車實(shí)用技術(shù),2022,47(3):38-40.

[6] 高斐,楊誠(chéng)瀟.汽車整車遠(yuǎn)程升級(jí)(OTA)系統(tǒng)的發(fā)展[J].重型汽車,2022(5):33-34.

[7] 牛小歐,翟亞男.車企OTA升級(jí)需備案[N].華夏時(shí)報(bào), 2022-04-25(14).

[8] 工業(yè)和信息化部.關(guān)于加強(qiáng)智能網(wǎng)聯(lián)汽車生產(chǎn)企業(yè)及產(chǎn)品準(zhǔn)入管理的意見(jiàn)[EB/OL].(2021-07-30)[2023- 03-06].https://www.gov.cn/zhengce/zhengceku/2021- 08/12/content_5630912.htm.

[9] 工業(yè)和信息化部裝備工業(yè)發(fā)展中心.關(guān)于開(kāi)展汽車軟件在線升級(jí)備案的通知[EB/OL].(2022-04-15) [2023-03-06].http://www.miit-eidc.org.cn/art/2022/4/ 15/art_374_422.html.

[10] 李健,張超,關(guān)清晨.汽車信息安全標(biāo)準(zhǔn)解讀與檢測(cè)實(shí)踐[J].質(zhì)量與標(biāo)準(zhǔn)化,2021(8):49-52.

OTA Test Case Analysis and Countermeasures Research of Intelligent and Connected Vehicles

TANG Bo1, LAI Yicong2, LI Leyan*2,3

( 1.Xidian University Guangzhou Institute of Technology, Guangzhou 510555, China; 2.China CEPREI Laboratory/China Electronic Product Reliability and Environmental Testing Research Institute, Guangzhou 511370, China; 3.Key Laboratory of MIIT for Intelligent Products Testing and Reliability, Guangzhou 511370, China )

As the scale of intelligent networked vehicles increases, the demand for software updates is also increasing rapidly. Over the air (OTA) technology provides a solution for large-scale updates of intelligent and connected vehicle. This paper summarizes the OTA technology from the OTA technical framework, security technology and related regulations, and then introduces the test methods and test cases based on R156 and. By analyzing the test cases,the existing problems are raised and reasonable countermeasures are given. Finally, reasonable suggestions are put forward for the OTA upgrade security technology of connected cars from the three perspectives of intelligent connected car manufacturers, OTA upgrade management system and third-party testing agencies.

OTA technology; Software upgrade; Regulations and policies; Compliance testing; Security testing

U463.61

B

1671-7988(2023)17-49-06

10.16638/j.cnki.1671-7988.2023.017.009

唐波（1997－），男，研究方向?yàn)橹悄墚a(chǎn)品及汽車信息安全，E-mail:21181214354@stu.xidian.edu.cn。

李樂(lè)言（1993－），男，工程師，研究方向?yàn)樾畔踩シ兰夹g(shù)和質(zhì)量評(píng)價(jià)技術(shù)、智能產(chǎn)品及汽車信息安全，E-mail:liyueyan@ceprei.biz。