电动汽车FOTA技术原理与测试方法研究

庞宇达　黎飞　黄祖朋　张亮　练朝春

摘 要：随着人们对汽车的各项要求逐渐提高，车辆朝着智能化、网联化趋势发展。车联网、无线通信、远距离无线通信、专用短程通信、5G通信等技术的日趋成熟，为汽车FOTA技术应用提供充足条件。本文系统阐述了电动汽车FOTA系统的组成方案、升级流程和升级方式，详细介绍了电动汽车FOTA的测试目的和测试方法。

关键词：FOTA系统 升级流程 测试内容 测试方法

在现代汽车领域中，各种智能ECU（电子控制单元）模块的广泛使用，给汽车行业带来了巨大变革。由于汽车的电子控制单元增多，汽车软件随之也越来越复杂，代码数量增加，加大了软件缺陷的发生概率。依靠线下店召回的传统模式已不能满足快速响应的需求，使得汽车远程刷新FOTA技术得以迅速发展。车辆通过FOTA 技术可以快速更新软件算法和程序性能，弥补信息安全漏洞，实现汽车自身迭代升级。

1 电动汽车FOTA系统概述

FOTA （firmware over-the-air）：中文翻译为固件空中远程升级，是指利用无线通信技术，通过云平台实现对车辆固件的远程更新。

1.1 电动汽车FOTA系统整体方案

汽车固件远程升级（FOTA）系统包含：移动端、FOTA云平台、无线车载终端、支持FOTA功能的车辆ECU。FOTA云平台和无线车载终端通过无线网络进行连接，无线车载终端和车辆ECU通过CAN网络进行连接。汽车FOTA系统的整体方案见图1。

1.1.1 移动端

主要用于人员权限管理、升级任务创建、升级包创建、车辆注册管理等。

1.1.2 FOTA云平台

主要用于对整个升级过程的管控，主要功能包括：车辆管理、车主管理、升级包管理、升级包加密和完整性校验、升级条件管理、升级任务管理、升级任务创建等。

1.1.3 无线车载终端

作为车内和车外互联网关，主要功能包括：车内控制器版本上报、升级包下载、升级包解密、升级包完整性校验、升级包存储、车内升级条件检测、升级进度上报等。

1.1.4 车辆ECU（电子控制单元）

包含整车控制器、车身控制器、电池管理系统、车载充电机、电机控制器、高级驾驶辅助系统等节点，各节点固件需支持FOTA升级功能。

1.2 电动汽车FOTA系统安全策略

FOTA系统的安全策略是从FOTA云平台到车辆端的多阶段、多层级、全方位的防护，即升级包上传到FOTA云平台、FOTA云平台到车辆端以及车辆端内部都采用不同类型的加密机制来提升整个升级过程的安全等级。FOTA云平台对登陆用户需要进行安全访问限制和认证，对上传到FOTA云平台的软件经过证书验证、签名验证和权限验证。为保证FOTA升级安全性，车辆端与FOTA云平台之间的每次信息交互，都必须携带身份验证信息，否则接收者验证不通过，并向发送者发出身份验证挑战。车辆端与FOTA云平台之间，使用HTTPS进行通信，保证传输通道安全性。车辆端与FOTA云平台之间的每次信息交互，都必须在HTTP请求头中携带消息内容完整性校验信息。

1.3 电动汽车FOTA系统升级流程

FOTA升级流程主要包含上传升级包、任务创建、任务刷新三个部分。FOTA升级人员通过移动端上传升级包至FOTA云平台，待管理人员审批通过后，创建升级任务。管理人员对升级任务进行审批，审批通过后，升级人员开始任务刷新。升级任务结束后，如任务失败，则需要用CAN盒连接车辆，重试任务复现问题，采集CAN报文和无线车载终端日志，开展问题分析。待问题解决后重新测试。FOTA升级流程图见图2。

2 电动汽车FOTA测试验证

2.1 电动汽车FOTA测试工具

在开展FOTA测试前，需把测试工具准备齐全，同时为提高升级成功率，测试车辆应放置在网络通讯良好的场地。测试工具见表1。

2.2 电动汽车FOTA测试内容

测试内容包含常规测试和条件测试。

2.2.1 常规测试

常规测试包含全模块测试、单模块测试两种类型。全模块和单模块升级包传至FOTA云平台后，根据测试目的建立不同升级任务刷新。例如无线车载终端包含MCU（单片机）和MPU（微处理器）两个模块，需上传三个升级包，第一个升级包MCU/MPU模块均为低版本，第二个升级包MCU模块为高版本/MPU模块为低版本，第三个升级包MCU /MPU模块均为高版本。

2.2.2 条件测试

条件测试是在刷新过程中模拟用户常见使用场景，例如：

1）在升级任务刷新过程中，拔插无线车载终端电源线。

2）在升级任务刷新过程中，拔插无线车载终端天线。

3）在升级任务刷新过程中，先开关车门，踩刹车，OFF->ACC->ON档位切换操作。

4）车辆钥匙处于OFF档/ACC档/ON档/READY不同状态进行任务刷新。

3 电动汽车FOTA测试方法

3.1 FOTA测试前提条件

测试电脑登录连接至FOTA云平台，云平台服务器正常运行。FOTA云平台已成功注册测试车辆和ECU零件。测试人员已准备好ECU零件升级包。ECU零件升级包已成功刷写在测试车辆上。测试车辆状态良好且已放置在網络通讯良好的场地。

3.2 ECU零件升级条件阀值

为保证升级成功，各ECU零件根据自身需求设定升级任务刷新前，测试车辆需满足的条件阀值。FOTA云平台阀值见表2。

3.3 测试步骤

3.3.1 上传升级包

1）升级人员登录FOTA云平台。

2）将准备好的低/高版本升级包按顺序上传至FOTA云平台。

3.3.2 升级任务

1）新建升级任务。

2）执行升级任务。

3）当执行升级任务后，FOTA平台将检测车辆实际状态是否与设置的前置条件一致。如车辆实际状态符合要求，FOTA云平台将开启升级任务进入刷新模式。

4）在任务刷新过程中，由于出现车辆电池电压低或CAN线不稳定等意外情况，导致任务无法正常刷新，则要求升级的ECU零件要支持回滚，使ECU零件的软件能够回滚到上一版本或者初始版本，保证车辆正常运行。

5）FOTA任务刷新完成后，查看升级结果。

3.4 期望結果

在实车测试中，要求所有测试用例均需要通过，才能判定升级包可用于用户车辆升级。具体要求如表3所示。

4 结束语

整车FOTA功能是实现智能网联汽车快速迭代升级的必备条件，是电动汽车未来发展的必然趋势。本文分析了电动汽车FOTA 系统的组成和升级流程，并建立完整的测试用例，列举了单节点正向测试、多节点组合正向测试和单节点场景测试的详细要求和操作步骤。通过完整的测试流程，目的是验证整车升级过程的可行性、安全性和可靠性。期望能对相关测试人员具有一定的指导意义。FOTA技术在汽车上的应用，极大提升了用户体验，也为整车制造厂创造巨大的经济效益，同时进一步促进汽车朝着网联化、智能化、共享化的方向发展。

基金项目：广西创新驱动发展专项资金资助项目（桂科AA18242039）;柳州市科学研究与技术开发计划资助项目（2019AG10202）

参考文献：

[1]李志涛.FOTA功能测试的研究与分析[J].汽车电器，2020（7）：21—24.

[2]李立安，赵帼娟，任广乐.OTA实现方案及汽车端设计分析[J].智能网联汽车，2020（14）：16—19.

[3]王栋梁，汤利顺，陈博，柳旭，刘闯.智能网联汽车整车OTA功能设计研究[J].汽车技术，2018（10）：29—33.

[4]武翔宇，赵德华，郝铁亮.浅谈汽车OTA的现状与未来发展趋势[J].汽车实用技术，2019（3）：215—216.

[5]李锐，杜贵锋，谢祥东.商用车FOTA人机交互设计[J].汽车电器，2019（6）：9—10.