谁都想要的 OTA 为什么强如大众也搞不定

  差不多六天前，我们的G3收到了新的 OTA提醒。一次应对当下疫情的紧急更新，

  文章讲的是传统豪强中改革最为坚决，在电气化、数字化、网联化上投资最为惊人（600多亿欧元）的大众集团（注释1），被爆出在 MEB 平台首款车型 ID.3的软件开发上陷入了令人吃惊的窘境——没办法实现 OTA。已经生产出的10000余台 ID.3不得不停在停车场（注释4、5），等待工程人员手工升级。

  大众狼堡总部74号大厅成为了「战时指挥部」，包括几乎所有的大众董事会成员、核心高管，以及不时出现的大众 CEO 迪斯，每天早上会在这里开晨会，寻找问题发布指令。

  但即使这样，ID.3依然还在焦灼中——「基础架构开发的太仓促」、「（各个模块）常常相互不理解导致中途推出」

  这让我非常吃惊，OTA 就这么难？强如大众，先进如 MEB 平台，也没有办法解决这个问题？

  「大众 MEB 平台的投入非常大，是比肩 Model 3的，你确定？」小鹏汽车电子电器架构高级专家段工这样反问？

  他的反问正如我们的吃惊，但答案却是确凿的。我们问他，为什么强如大众这样的大厂都做不到 OTA？

  OTA， Over the Air，也就是空中下载技术，简单理解是通过信息传输的方式对产品做软件优化。iPhone 的系统版本更新、王者荣耀的游戏版本更新，都可以称为 OTA。

  段工说，一辆电动汽车上通常会有几十个控制器，按不同的级别可以简单分为三类。第一类信息娱乐相关的，例如车机、仪表和 TBOX；第二类就是非动力相关的，例如部分车身控制器、无人驾驶等；第三类就是底层动力系统相关控制器，例如刹车系统、电池系统。

  这样分类是因为不同控制器对时序、延迟、稳定性等与安全性相关的需求完全不同。

  信息娱乐系统的控制器，对安全性要求不高，不涉及车辆底层安全，所以一般会用安卓系统。安卓的好处是方便 App 导入，但系统功能的稳定性、包括实时性很难保证。

  现在大部分车企其实都能做到车机娱乐系统的 OTA。但由于以上的特点，大家一般将其称为 SOTA，也就是 Software-over-the-air，软件在线升级。

  真正难的是后两类，牵扯到车身、无人驾驶、以及底层动力系统（刹车、电池等）的控制器升级。

  这些控制器，行业内一般会使用基于 QNX、Linux 、Autosar 规范等打造的实时操作系统来控制，对时序、稳定性、安全性要求极高，是汽车非常底层、跟安全相关的控制软件。

  段工告诉我们，特斯拉之所以让整个行业惊叹，是因为特斯拉动的不仅是信息娱乐相关控制器，而是对刹车、BMS 等直接与汽车底层安全相关的功能进行了 OTA。属于「硬核」上的 FOTA ，也就是 Firmware-over-the-air，固件升级。

  而汽车传统安全功能一般都需要经过长期的，反复的测试/标定，且测试/标定释放后不再更改。「主要是不敢变，尤其是有交互控制相关的策略」。

  段工这样进行分类，其实是想说传统车企能够 OTA，但大多只能 SOTA，不能 FOTA。

  但为什么？为什么大多不能 FOTA？具体到国内，又有谁能够 FOTA ？

  「小鹏并不是国内唯一一家国内能够自主研发 FOTA 功能的，据我所知，除了小鹏，蔚来的 FOTA 也是自研的。」小鹏汽车 OTA 技术专家 David 这样说。

  至于有些车企不能 FOTA 的原因，段工则拿了小鹏 G3刚刚 OTA 的「高温抑菌」功能来举例。

  我们先看下什么是「高温抑菌」。我们制作了一个视频（如上），并补充文字如下：从原理上看，「高温抑菌」功能是通过内循环、大风量的方式让车内空气循环进入空调，并加热到60℃ ，如此循环反复百次以上，以此来降低细菌病毒的存活率和存活时间。

  「这也属于硬核级别的 FOTA，因为更新了跟高压相关的空调控制管理系统底层软件」段工告诉我们。

  而之所以能动，是因为 G3在早期定义时就对空调系统的功能迭代预留了接口、做了预埋。在段工看来，是否在车辆的架构设计、战略规划时就考虑到 OTA，是「软件定义硬件」的关键。

  譬如，有没有做硬件的预埋。ACC、LCC、自动泊车等功能，车辆刚交付时可以没有。但假如没有摄像头、毫米波雷达、超声波雷达这样的硬件预埋，后面也不可能有。

  又譬如，有没做好开放接口？车辆的控制器或者说分系统，能否通过中间媒介，譬如 TBOX 跟外界相互连通？是否允许控制车辆进行变更？这都决定了 OTA 是否可行，以及它的深度和广度。

  David 告诉我们，小鹏在车辆前期研发时，在接口、车身验证等环节就非常仔细，目的是要确保每一个接口都符合相关规定，是稳定的。假如没有这样的接口、没有这样的通道，自然就无法 OTA。

  当然，这并不意味着车辆不能升级。但没有开放接口，意味着工程师必须重新开发，推倒重来，而且只能在线下刷机。

  「国内跟我们比较像的车企应该是蔚来，蔚来汽车也是早期就意识到 OTA 的重要性，属于国内为数不多的拥有 FOTA 自主研发能力的车企，」

  所谓 FOTA 自主研发，前提是能吃透每个控制器逻辑。一名匿名的传统车企工程师告诉我们，传统汽车没办法做到 FOTA，问题其实出在过于依赖供应链上。供应链不会把控制器底层逻辑交出来，自己吃不透的话，整个电子架构就会看起来完整、事实上碎片化。

  他认为，这也正是大众为什么一再强调要数字化转型，甚至要单独成立5000人规模的 Car.Software 软件开发部门的原因。（注释2）

  但是，Car.Software 存在一个问题——按照大众的说法，Car.Software 的出现将让大众成为第一家将软件和硬件开发完全独立的传统车企。（注释2）

  但软件定义硬件的趋势如果成立，软硬件不应该是融合在一起的吗？就如乔布斯的那句老话：「苹果要提供的，是装在漂亮盒子里的软件。」

  相较于 Car.Software ，我们实际上更倾向于 OTA 执委会这样的设定

  接受我们采访的 OTA 技术专家 David 就是小鹏汽车 OTA 执委会的一员。他告诉我们，OTA 执委会成员来自小鹏汽车各个业务部门，包括研发，售后，产品规划，服务运营，车载系统，车联平台等等十几个部门，几乎贯穿了小鹏汽车整个组织结构。

  段工 说，传统车企的开发流程大体是这样的：对标竞品车-确定功能点-完成配置表-找供应商。这就是「为什么很多传统车的功能是相似的。」

  但小鹏的开发模式完全推翻了这一点。小鹏汽车要求产品团队完全从使用者真实的体验方面出发，去思考什么功能是用户要的、对用户有价值的；产品功能需求定下来后，架构环节接手。由架构将想法落地，确定时序、状态跳转时机、行程控制策略等等。之后才是模块团队完成软件设计。

  事实上，OTA 运营部管理的只是通道，版本规划或者版本上承载的业务，其实是由业务部门提出的。而每个业务部门都会有运营人员去分析功能的使用数据，并逐步优化调整。

  根据 David 的说法，很多新功能的灵感大多数来源于于运营，来自于对用户数据的分析、来自于用户在论坛上的吐槽、在车机上的反馈等等。

  有小鹏车主的。譬如@大岳8724181就在小鹏 App 发帖，说他起初认为这是鸡肋，所以不想发、不想说、不想推荐，但多用几次、多听了鹏友们的反馈后，发现这功能是有抑菌效果的，虽然不能够确保整车内的细菌全部杀死，但是空调管道内，他相信是妥了！而空调管道杀菌才是主要的。

  也有来自蔚来车主的。虽然同样也有能不能杀菌质疑，但也认为小鹏的推送是及时的：人们要说明，就 OTA 了什么…其他的，就不再多说了。

  而从个人感受来看，小鹏汽车 OTA 有两个特点。第一是稳定，我没有遇到过失败的。第二是快速，更新时间最长不超过二十分钟，最短的这次 OTA 只花了四分钟。

  段工就这两个特点讲了很长一段的技术解读。譬如说会对整车控制器做分级管理，对关键的控制器做AB分区，其他非关键控制器要求支持掉电保护和异常回刷，包括升级前的安全校验、以及差分升级（只升级软件中有差异的部分）等等。

  「如果我们把汽车发展分成三个阶段的话，那当前就是属于未来软件定义汽车的过度阶段。」段工说，根据摩根斯坦利（Morgan Stanley）的估算，以后无人驾驶汽车60% 的价值将源于软件，而今天汽车软件的价值占比只有10% ，而OTA 则是通往未来软件时代的必经之路，只有具备了这个能力才能让我们的车不断进化。而这也正是小鹏汽车从始至终坚持的发展方向。

  段工的这个判断，其实也体现在了前几天、发改委等11个国家部委联合出台的《智能汽车创新发展的策略》。汽车价值链正在重组，核心从硬件转移到了软件。

  人人想要的OTA，背后是不断迭代的新功能，是「智能成长」的汽车。对于很多人而言，这已经比零百加速更容易俘获人心了。

  「特斯拉一直都是行业标杆，是特斯拉把汽车 OTA 带进公众视野惊叹全行业。相比特斯拉，我们会更多做好本土化和差异化，例如适合国内道路的无人驾驶功能和本次的高温抑菌功能。」这是小鹏的朋友在采访结束后发来的一句话。

  再次致谢小鹏汽车 OTA 技术专家 David 、小鹏汽车电子电器架构高级专家段工。