智能汽车安全守护者大会演讲实录 | 艾拉比汽车软件升级协同和风险管理

11月22日，智能汽车安全守护者大会在上海嘉定举办，当日智能汽车网络与数据安全论坛。此次大会围绕智能网联汽车背景下的网络安全、信息安全、数据安全、功能安全等行业热门护体，探讨行业细分领域的技术热点、推动行业的技术创新和发展。艾拉比解决方案总监杨森应邀参加，并发表题为“艾拉比汽车软件升级协同和风险管理”的主题演讲，为行业提供软件管理及运营解决方案。

以下为演讲实录：

产业、技术、市场多重因素驱动汽车软件管理体系变革

在汽车“新四化”背景下，汽车将加速向高度数字化、信息化、智能化的方向发展，软件将成为新的核心竟争点。从技术发展趋势上来看，随着智能制造、OTA 诊断等技术正全面融入车企全生命周期运营体系，深度重构了汽车研发体系。从市场角度来看，数字化、个性化、体验化将成为汽车消费者的主要考量因素，进一步挖据用户的个性化需求和持续打造迭代的软件升级体系将成为关键。上一代EE架构衍生的以工程研发为导向的软件管理体系无法适应现阶段软件定义汽车的新需求，因此在产业、技术、市场三驾马车的共同驱动下，汽车软件管理体系必须面向运营转变。

汽车软件从单体管理向协同管理、软件运营转型

纵观汽车软件管理十年发展历程，与汽车电子电器架构密不可分，伴随着随着汽车电子电器架构从分布式—域控—中央计算的发展演进，汽车软件管理体系也经历了四个发展阶段。第一阶段，在OTA技术还未大规模应用的情况下，车辆软件的升级诉求较少，软件管理更多作为一个固件软件包的存储及下载，在应用场景上也只是为了解决出厂配置和售后质量问题，软件管理表现出信息和文件实体分离的特点。在第二个阶段，随着OTA技术的普及，智能件的升级诉求逐步增多，为了实现OTA运营需求，构建了低维度的软件管理，管理特点转变为各个需要OTA升级的软件的从PLM等研发系统同步到OTA系统，在OTA系统上建立以车型零件为基础的软件管理模块。第三个阶段，随着电子电器架构的升级，整车OEM开始构建面向企业级的整车OTA升级能力，在这个阶段ECU软件数量及复杂程度呈指数上升，由于软硬解耦，软件管理的内容明显增多，包括固件包、应用包、功能配置及服务等均纳入了软件管理的范畴，另一方面从升级的场景也覆盖到研发测试、生产制造、售后运营等业务线上，部分OEM也建立了整车基线大版本的管理模式来支持软件升级的运营。第四个阶段，我们把他定义成软件运营阶段，我们把软件管理中不同的软件及内容对接到应用商店的生态体系实现软件的增值变现，同时基于用户的个性化需求实现千人千面的内容推送。这个阶段不仅需要考虑软件运营，在合规体系上，也需要为符合《R156》,《汽车软件升级通用技术要求》等法规要求提供系统支撑。

汽车被软件“精装”，催生了软件统一管理的强烈需求

随着车辆软件数量的骤增，软件刷写场景的复杂多变，以及软件敏捷开发,合规体系等场景出现，汽车行业中存在多年的软件管理等系统已经逐渐成为了软件升级运营的限制因素。诸多痛点成为汽车发展的桎梏，目前我们总结下来主要有如下几点因素：

传统的硬件管理系统来管理软件，难以适应软件的快速迭代体系。

软件数据存在于研发、测试、BOM、变更、制造、售后、销售等系统，造成数据冗余，质量问题分析排查及追溯效率低下；

当前软件管理 BOM，无法覆盖所有的软件刷写场景，且准确性比较差；

软件临时方案过多，没有统一的系统管理和记录；

软硬解耦，没有简单可靠的机制支撑软件，硬件和配置等的协同变更等。

如何为每一辆车精准的刷写匹配的软件，当软件出现质量问题如何快速查找相关车辆的软硬件配置信息，我们总结了当前软件管理的四大痛点。

软件升级通道多需要同源管理。随着应用的场景增多，软件运用到应用商店、生产智造等环节，软件通道繁多，需要对SOTA/FOTA/EOL/诊断/商店/智造/售后进行同源管理。

软件种类多需要统一的分层管理。随着电子电气架构的发展，软硬件解耦，主机厂把软件分为固件层、应用层、算法层、配置层、功能层、生态层、服务层等，这些复杂的软件之间，需要统一的约束关系去管理。

车主触点丰富需要统一体验，要实现软件订阅、软件升级等不同触点的统一的管理。

建立汽车生命周期数字资产统一管理。对硬件、软件、车辆数字档案全生命的周期的进行统一管理。

软件蜂拥带来的通道多、种类多、触点多及数字化管理需求亟待解决，通过经验总结，我们提出软件协同管理的解决方案来对症下药。

软件协同管理助力整车企业全场景的良性运营

OTA作为工程化的技术通道，主要负责快速、稳定、安全的升级车辆软件，场景化运营能力相对薄弱，这跟OTA本身的属性有关。从市场运营角度车主主要有两点诉求，一是满足他的新型功能的常用常新，二是对老功能问题的快速修复和优化。目前对标一些新势力或者一些高端车型，他们其实打造的效应是车主功能许愿的场景。市场或是用户运营收集用户需求，再基于用户需求进行版本规划，研发团队进行工程化的开发，最后把软件版本去生成整车软件基线进行更新，汽车软件协同管理系统可以支持整车基线的生成、发布，同时通过OTA通道推向用户实现软件的升级，如此便可打造快速的整车软件发布体系。其实目前我们看到很多主机厂整个软件发布的效率非常低，版本的推出要历经好几个月，其中重要的原因就是没有软件统一协同研发运营的模式。从另一角度来说，软件推向市场之后，我们通过汽车诊断以及数采的系统回传软件运行数据，然后通过软件协同管理系统对该基线版本的质量，效果分析进行追踪闭环，以此来提升质量品控以及用户对于新功能的接受程度，从而进一步增加车企品牌用户粘性，形成版本归属依赖和“品牌教主”效应。艾拉比打造的汽车软件升级协同管理平台从系统能力上实现了与整车研发、生产制造、市场营销、售后运营等系统深度集成。该系统的业务上游可以协同车企的软件研发体系，从整车的功能规划、开发过程中版本管理、到软件基线的生成和发布。系统的下游也是支撑了从研发测试、生产制造、售后运营以及市场营销几种不同的场景的软件同源支持。在研发过程中释放的软件小版本通过软件的协同管理平台推送到相关的自动化测试机柜，测试台架系统中，使用软件快速的部署以及测试验证。在生产制造方面，也支持与产线OTA、EOL、线边系统等进行配合，据用户的订单在产线上实现软件的结算以及刷写。在售后运营服务，可以通过平台去发布软件推给OTA和诊断系统进行软件的升级或者售后救援的联动。在市场营销方面，基于基线固件版本之上，我们去管理一些可售的功能和服务，也是可以和企业的整个的商店体系进行打通，实现整车软件的可售的场景。

汽车软件中的风险

在软件管理以及协同运营整个体系中，还有比较重要的一环就是软件的安全风险，艾拉比通过和一些安全公司合作，在软件版本推出之后增加了软件版本风险管理的模块。一是在OTA发布之前，增加对软件包的安全检测，二是我们也在进一步探索在OTA软件推出之后，持续监控车辆的软件运营状态，通过车辆运行状态去挖掘些软件产生的一些问题或者是一些优化项。我们从行业中看到，目前软件的安全中也存在了很多风险，比如开源漏洞：软件中第三方库、开源组件中隐藏着大量漏洞；敏感信息：软件包含的明文用户名、密码，引用的不安全的链接; 合规管制:软件中使用了不符合规范的代码、数据（如等保 2.0，W.P. 29，ISO21434/ISO26262...）；许可证风险:几乎所有的现代软件都集成了开源组件，其中大多数开源组件都包含了许可证，使用许可证授权不明确的开源软件。

汽车软件安全风险监测

在软件发布之前，会对软件进行整体的成分分析。目前这个功能支持自动化的方式从固件提取元信息、软件包&组件检测、开源许可证书分析、CVE/CNNVD漏洞检测、CWE缺陷检测、加密算法检测、敏感信息检测、用户密码等多个检测维度，识别和分析固件可能存在的风险漏洞，提前发现安全问题，提升软件的安全强度，避免固件漏洞被恶意利用导致信息泄露、设备功能故障等。

软件风险检测技术原理及流程

这个功能采用的技术为静态分析。静态分析-解析封装后的固件，对其进行反汇编，通过解包固件内的多种组成成分(如bootloader,root-fs)，再通过二进制程序反汇编以便找到公开可用漏洞的类别、程序脆弱点、敏感信息等, 生成一组易受攻击的漏洞信息表，最终可生成一 份针对此固件的潜在可利用缺陷的报告。

软件运行状态监测

下面我们了解软件升级之后的运行监测，随着汽车智能化进程不断推进，汽车内部涉及的软件越来越多，催生出的汽车软件质量问题成为新痛点，我们也不断在思考，并和相关的整车企业，Tire1供应商进行深度探索。在我们整个软件协同管理平台中，我们基于车型平台构建了ECU软硬件结构以及版本关系，在整车基线版本生成时，我们同时去定义基线软件的期间下数据采集以及诊断策略。通过OTA平台对软件升级到车辆终端后，同时协同诊断平台更新车辆的数采以及诊断策略，通过策略脚本去持续的收集车辆软件的运行状态，建立软件质量预警能力，通过数据以及故障的分析，在软件基线下建立软件问题库，以持续优化软件质量，从而打造事前检测和事后的问题监测能力。艾拉比的汽车软件协同系统管理主要是为车企打造可持续化运营的数字化的体验。它并不是全部接管了汽车整个研发过程，它其实更主要是增强汽车当前软件管理的能力，弥补传统软件管理不能很好支持运营的弊端 通过这样的一套体系为车企建立车辆，软件全生命周期的运营管理能力，极大的改善了车企的整体的软件研发以及推出的效率，同时也为打造就常用常新的数字体验打下很好的铺垫。

审核编辑 黄昊宇