Un veicolo moderno riceve decine di aggiornamenti software nel corso della sua vita, la maggior parte consegnati da remoto tramite il T-Box. L'aggiornamento over-the-air su scala automobilistica è un problema di crittografia, layout della memoria e ripristino dai guasti tanto quanto di connettività: un aggiornamento non riuscito di un controller di frenata, batteria o connettività non è un inconveniente, ma un evento di sicurezza. Questo articolo spiega come è strutturata una campagna OTA sicura, perché le partizioni A/B hanno sostituito la riscrittura sul posto, come la catena di avvio sicuro ancora la fiducia nell'hardware e dove il T-Box si inserisce come maestro degli aggiornamenti del veicolo.
Un flusso tipico procede dal cloud alla centralina ECU per fasi: il backend gestisce coorti di veicoli e inventari delle versioni, firma i pacchetti di aggiornamento e invia una notifica di campagna; il T-Box scarica il pacchetto su rete cellulare o Wi-Fi verificando i punti di controllo man mano che arriva; un gestore degli aggiornamenti all'interno del veicolo decide la tempistica in base allo stato del veicolo (parcheggiato, in carica, batteria adeguata); e le ECU bersaglio vengono riscritte su CAN-FD o Ethernet automobilistico usando la sequenza UDS descritta nel nostro articolo CAN/UDS. La telemetria riporta l'esito di ogni veicolo al cloud, offrendo al gestore della campagna un ciclo chiuso successo/fallimento e la possibilità di sospendere un rilascio non appena i tassi di anomalia salgono.
Le immagini ECU complete su rete cellulare sono costose, quindi le piattaforme usano pacchetti differenziali (delta): algoritmi di diff binario come bsdiff codificano solo i byte cambiati tra il firmware vecchio e quello nuovo, riducendo un aggiornamento da 200 MB a pochi megabyte. Il veicolo ricostruisce l'immagine completa localmente a partire dalla versione corrente nota, motivo per cui conta un inventario preciso delle versioni: un delta si applica solo alla baseline esatta da cui è stato costruito. I download sono riavviabili, scaglionati in base al flash libero e pianificati di preferenza su reti non a consumo.
Il layout di memoria più sicuro conserva due copie complete del firmware, convenzionalmente gli slot A e B. Il sistema gira dallo slot attivo mentre l'aggiornamento viene scritto, verificato e preparato nello slot inattivo — il veicolo in funzione non viene mai toccato. Al riavvio successivo il bootloader prova lo slot appena scritto; se si avvia e conferma la propria integrità entro una finestra definita, viene marcato come attivo. Se qualcosa fallisce, il bootloader semplicemente ripiega sullo slot precedente intatto all'avvio successivo. Ciò rende un aggiornamento difettoso auto-riparante ed elimina la pericolosa finestra in cui una riscrittura sul posto interrotta non lascia alcun firmware eseguibile.
La sicurezza degli aggiornamenti poggia in ultima istanza sull'avvio sicuro. La fiducia inizia nel codice ROM immutabile e si trasmette a cascata fase per fase, con ogni strato che verifica la firma digitale del successivo prima di eseguirlo:
Poiché il T-Box è l'unica ECU esposta a Internet pubblico, è il firewall perimetrale del veicolo. L'irrigidimento include: TLS mutuamente autenticato per le sessioni cloud; comunicazione di bordo sicura (messaggi CAN autenticati e protetti contro la ripetizione secondo AUTOSAR SecOC), così un T-Box compromesso non può comandare liberamente le ECU interne; registrazione del rilevamento delle intrusioni; account di servizio con privilegio minimo; e rapidi processi di risposta alle vulnerabilità allineati a standard come ISO/SAE 21434 e UN R155/R156, che rendono la gestione della cibersicurezza e la capacità di aggiornamento un obbligo di omologazione in molti mercati.
Una centralina ECU non deve perdere alimentazione a metà aggiornamento. Weijiang Power fornisce celle di backup NiMH e al litio ad ampio intervallo di temperatura e pack personalizzati che permettono al T-Box di superare un'interruzione dell'alimentazione e completare o annullare in sicurezza un ciclo di riscrittura, con una lunga vita di calendario pari alla finestra di supporto degli aggiornamenti del veicolo. Inviateci il progetto della rail e la durata peggiore dell'aggiornamento, e i nostri ingegneri dimensioneranno l'alimentazione di mantenimento dietro una strategia OTA fail-safe.
