谁都想要的OTA，为什么强如大众也搞不定

　　差不多六天前，我们的 G3 收到了新的 OTA 提醒。一次应对当下疫情的紧急更新，新增了一个叫做「高温抑菌」的功能。
　　停车场停放的ID.3
　　恰好当天晚上，我的朋友@冷酷的冬瓜 发表了一篇很有趣的文章：狼（堡）烟四起？《经理人杂志》：74号大厅的对决。
　　文章讲的是传统豪强中改革最为坚决，在电气化、数字化、网联化上投资最为惊人（600多亿欧元）的大众集团（注释1），被爆出在 MEB 平台首款车型 ID.3 的软件开发上陷入了令人吃惊的窘境——无法实现 OTA。已经生产出的 10000 余台 ID.3 不得不停在停车场（注释4、5），等待工程人员手工升级。
　　大众狼堡总部 74 号大厅成为了「战时指挥部」，包括几乎所有的大众董事会成员、核心高管，以及不时出现的大众 CEO 迪斯，每天早上会在这里开晨会，寻找问题发布指令。
　　但即使这样，ID.3 依然还在焦灼中——「基础架构开发的太仓促」、「（各个模块）常常相互不理解导致中途推出」
　　这让我非常吃惊，OTA 就这么难？强如大众，先进如 MEB 平台，也无法解决这个问题？
　　一、OTA 、SOTA 与 FOTA
　　何小鹏朋友圈发文词云图
　　「大众 MEB 平台的投入非常大，是比肩 Model 3 的，你确定？」小鹏汽车电子电器架构高级专家段工这样反问？
　　他的反问正如我们的吃惊，但答案却是确凿的。我们问他，为什么强如大众这样的大厂都做不到 OTA？
　　段工没有正面回答，但很仔细地给我们捋了一下什么是 OTA 。
　　OTA， Over the Air，也就是空中下载技术，简单理解就是通过信息传输的方式对产品进行软件优化。iPhone 的系统版本更新、王者荣耀的游戏版本更新，都可以称为 OTA。
　　但是，「汽车的OTA，要比日常接触比较多的手机 OTA 复杂很多。」
　　段工说，一辆电动汽车上通常会有几十个控制器，按不同的级别可以简单分为三类。第一类信息娱乐相关的，例如车机、仪表和 TBOX；第二类就是非动力相关的，例如部分车身控制器、自动驾驶等；第三类就是底层动力系统相关控制器，例如刹车系统、电池系统。
　　这样分类是因为不同控制器对时序、延迟、稳定性等与安全性相关的需求完全不同。
　　信息娱乐系统的控制器，对安全性要求不高，不涉及车辆底层安全，所以一般会用安卓系统。安卓的好处是方便 App 导入，但系统功能的稳定性、包括实时性很难保证。
　　现在大部分车企其实都能做到车机娱乐系统的 OTA。但由于以上的特点，大家一般将其称为 SOTA，也就是 Software-over-the-air，软件在线升级。
　　真正难的是后两类，牵扯到车身、自动驾驶、以及底层动力系统（刹车、电池等）的控制器升级。
　　这些控制器，行业内一般会使用基于 QNX、Linux 、Autosar 规范等打造的实时操作系统来控制，对时序、稳定性、安全性要求极高，是汽车非常底层、跟安全相关的控制软件。
　　段工告诉我们，特斯拉之所以让整个行业惊叹，是因为特斯拉动的不仅是信息娱乐相关控制器，而是对刹车、BMS 等直接与汽车底层安全相关的功能进行了 OTA。属于「硬核」上的 FOTA ，也就是 Firmware-over-the-air，固件升级。
　　而汽车传统安全功能一般都需要经过长期的，反复的测试/标定，且测试/标定释放后不再更改。「主要是不敢变，尤其是有交互控制相关的策略」。
　　二、软件定义硬件：
　　段工这样进行分类，其实是想说传统车企能够 OTA，但大多只能 SOTA，不能 FOTA。
　　但为什么？为什么大多不能 FOTA？具体到国内，又有谁能够 FOTA ？
　　「小鹏并不是国内唯一一家国内能够自主研发 FOTA 功能的，据我所知，除了小鹏，蔚来的 FOTA 也是自研的。」小鹏汽车 OTA 技术专家 David 这样说。
　　视频加载中...
　　至于有些车企不能 FOTA 的原因，段工则拿了小鹏 G3 刚刚 OTA 的「高温抑菌」功能来举例。
　　我们先看下什么是「高温抑菌」。我们制作了一个视频（如上），并补充文字如下：从原理上看，「高温抑菌」功能是通过内循环、大风量的方式让车内空气循环进入空调，并加热到 60℃ ，如此循环反复百次以上，从而降低细菌病毒的存活率和存活时间。
　　正在高温抑菌的 G3
　　从 OTA 的角度来看，这次动的是空调系统的控制器。
　　「这也属于硬核级别的 FOTA，因为更新了跟高压相关的空调控制系统底层软件」段工告诉我们。
　　而之所以能动，是因为 G3 在早期定义时就对空调系统的功能迭代预留了接口、做了预埋。在段工看来，是否在车辆的架构设计、战略规划时就考虑到 OTA，是「软件定义硬件」的关键。
　　小鹏去年关于 ACC和自动泊车 的数据统计
　　譬如，有没有做硬件的预埋。ACC、LCC、自动泊车等功能，车辆刚交付时可以没有。但如果没有摄像头、毫米波雷达、超声波雷达这样的硬件预埋，后面也不可能有。
　　又譬如，有没有做好开放接口？车辆的控制器或者说分系统，能否通过中间媒介，譬如 TBOX 跟外界互联互通？是否允许控制车辆进行变更？这都决定了 OTA 是否可行，以及它的深度和广度。
　　David 告诉我们，小鹏在车辆前期研发时，在接口、车身验证等环节就非常仔细，目的是要确保每一个接口都符合规定，是稳定的。如果没有这样的接口、没有这样的通道，自然就无法 OTA。
　　当然，这并不代表车辆不能升级。但没有开放接口，意味着工程师必须重新开发，推倒重来，而且只能在线下刷机。
　　「我们强调的是功能成长，但一些传统的，只是接 BUG，或者说改款。」
　　另一个关键，则是自研能力。
　　「国内跟我们比较像的车企应该是蔚来，蔚来汽车也是早期就意识到 OTA 的重要性，属于国内为数不多的拥有 FOTA 自主研发能力的车企，」
　　所谓 FOTA 自主研发，前提是能吃透每个控制器逻辑。一名匿名的传统车企工程师告诉我们，传统汽车无法做到 FOTA，问题其实出在过于依赖供应链上。供应链不会把控制器底层逻辑交出来，自己吃不透的话，整个电子架构就会看起来完整、事实上碎片化。
　　他认为，这也正是大众为什么一再强调要数字化转型，甚至要单独成立 5000 人规模的 Car.Software 软件开发部门的原因。（注释2）
　　三、Car.Software和 OTA 执委会
　　图来自注释2
　　但是，Car.Software 存在一个问题——按照大众的说法，Car.Software 的出现将让大众成为第一家将软件和硬件开发完全独立的传统车企。（注释2）
　　但软件定义硬件的趋势如果成立，软硬件不应该是融合在一起的吗？就如乔布斯的那句老话：「苹果要提供的，是装在漂亮盒子里的软件。」
　　相较于 Car.Software ，我们其实更倾向于 OTA 执委会这样的设定
　　小鹏G3自动泊车挑战赛图片
　　接受我们采访的 OTA 技术专家 David 就是小鹏汽车 OTA 执委会的一员。他告诉我们，OTA 执委会成员来自小鹏汽车各个业务部门，包括研发，售后，产品规划，服务运营，车载系统，车联平台等等十几个部门，几乎贯穿了小鹏汽车整个组织结构。
　　而这，正是小鹏汽车跟其他车企在组织架构上的一个关键不同。
　　表现在外，主要有两点。
　　首先，是开发流程完全不同。
　　段工 说，传统车企的开发流程大体是这样的：对标竞品车-确定功能点-完成配置表-找供应商。这就是「为什么很多传统车的功能是相似的。」
　　但小鹏的开发模式完全推翻了这一点。小鹏汽车要求产品团队完全从用户体验角度出发，去思考什么功能是用户需要的、对用户有价值的；产品功能需求定下来后，架构环节接手。由架构将想法落地，确定时序、状态跳转时机、行程控制策略等等。之后才是模块团队完成软件设计。
　　小鹏汽车1024智能开放日
　　其次，是运营和数据变得极其重要。
　　这样的运营或者说数据分析，并不是 OTA 部门一家的事。
　　事实上，OTA 运营部门管理的只是通道，版本规划或者版本上承载的业务，其实是由业务部门提出的。而每个业务部门都会有运营人员去分析功能的使用数据，并逐步优化调整。
　　小鹏G3车机系统内置的反馈设定
　　根据 David 的说法，很多新功能的灵感主要来自于运营，来自于对用户数据的分析、来自于用户在论坛上的吐槽、在车机上的反馈等等。
　　它与版本推送整体规划结合在一起，推动着车辆往「智能成长」的方向前进。
　　四、谁都想要 OTA
　　在高温抑菌功能 OTA 后，车主们的反馈很有意思。
　　有小鹏车主的。譬如@大岳8724181 就在小鹏 App 发帖，说他起初认为这是鸡肋，所以不想发、不想说、不想推荐，但多用几次、多听了鹏友们的反馈后，发现这功能是有抑菌效果的，虽然不能保证整车内的细菌全部杀死，但是空调管道内，他相信是妥了！而空调管道杀菌才是主要的。
　　也有来自蔚来车主的。虽然同样也有能不能杀菌质疑，但也认为小鹏的推送是及时的：人们需要什么，就 OTA 了什么…其他的，就不再多说了。
　　正在运行高温抑菌功能的G3
　　而从个人感受来看，小鹏汽车 OTA 有两个特点。第一是稳定，我没有遇到过失败的。第二是快速，更新时间最长不超过二十分钟，最短的这次 OTA 只花了四分钟。
　　段工就这两个特点讲了很长一段的技术解读。譬如说会对整车控制器做分级管理，对关键的控制器做AB分区，其他非关键控制器要求支持掉电保护和异常回刷，包括升级前的安全校验、以及差分升级（只升级软件中有差异的部分）等等。
　　「如果我们把汽车发展分成三个阶段的话，那当前就是属于未来软件定义汽车的过度阶段。」段工说，根据摩根斯坦利（Morgan Stanley）的估算，以后自动驾驶汽车 60% 的价值将源于软件，而今天汽车软件的价值占比只有 10% ，而OTA 则是通往未来软件时代的必经之路，只有具备了这个能力才能让我们的车不断进化。而这也正是小鹏汽车一直坚持的发展方向。
　　段工的这个判断，其实也体现在了前几天、发改委等11个国家部委联合出台的《智能汽车创新发展战略》。汽车价值链正在重组，核心从硬件转移到了软件。
　　人人想要的OTA，背后是不断迭代的新功能，是「智能成长」的汽车。对于很多人而言，这已经比零百加速更容易俘获人心了。
　　「特斯拉一直都是行业标杆，是特斯拉把汽车 OTA 带进公众视野惊叹全行业。相比特斯拉，我们会更多做好本土化和差异化，例如适合国内道路的自动驾驶功能和本次的高温抑菌功能。」这是小鹏的朋友在采访结束后发来的一句话。
　　(完）
　　再次致谢小鹏汽车 OTA 技术专家 David 、小鹏汽车电子电器架构高级专家段工。
　　附录：
　　（1）OTA 流程（小鹏汽车一般版本从规划到全量的流程）：
　　项目发起--功能规划汇总--需求评审--专业组开发--整车集成测试--达到公测标准--公测OTA--整车软件发布评审--软件发布--整车软件灰度发布 / App 应用商店提审--灰度总结--全量发布--全量总结
　　（2）引用文献：
　　1、澎湃新闻：大众汽车CEO改口了：电动化目标从超越特斯拉改为尽量追赶
　　https://www.thepaper.cn/newsDetail_forward_6293367
　　2、电动汽车观察家：大众汽车：电动化，动全身
　　3、冷酷的冬瓜：狼（堡）烟四起？《经理人杂志》：74号大厅的对决
　　4、cleantechnica：Volkswagen ID.3 Update — More Delays Expected
　　5、www.motorpasion.com：De amontonar coches trucados a Volkswagen ID.3: cientos de coches eléctricos esperan en parkings una actualización de software