null

2022年UNECEWP.29R155与R156法规进入生效阶段，先介绍一下该法规出台的背景信息吧。

王淼：2020年6月，UNECE’sWorldForumforHarmonizationofVehicleRegulations(以下简称UNECE)通过了两项新的联合国法规要求，即 《RegulationNo.155-CybersecurityandCybersecurityManagementSystem》 (以下简称R155)与 《RegulationNo.156-SoftwareUpdateandSoftwareUpdateManagementSystem》 (以下简称R156)。该法规于2021年最终确定并发布，并发布了两份法规的解读文件，即 《InterpretationforR155》 与 《InterpretationforR156》 。该法规适用于54个缔约方(不包括美国和加拿大)，各国实施进度略有差异。这两项新法规旨在要求采取以下四大措施：

两项规定的出台，为国内行业建立相关法规和标准，为相关企业建立车辆网络安全管理制度和网络安全实施计划，软件升级管理制度和软件升级实施计划，都提供了极好的参考标准。

艾拉比专注为主机厂提供汽车OTA升级技术解决方案，今天我们聚焦在第156号法规——软件升级与软件升级管理体系。是否可以简要介绍该法规在软件升级和管理体系的相关内容？

王淼：从R156法规内容结构上来看，包含了合规性认证申请的说明、对认证标识标记的定义、对车型认证(typeapproval)的要求、软件升级管理体系的合规性要求、认证车型的变更与扩展等要求。主体流程和工作事项，可以参考解释文件中提供的流程示意图。

从图中可以看出来，R156法规对车型认证给予了流程指导，那么车型软件升级有什么要求吗？

王淼：R156法规中，车型要求(RequirementsfortheVehicleType)，首先针对软件升级提出了两大方面的要求(RequirementsforSoftwareupdates)：

一方面，合理保护软件升级(主要是软件更新包)的真实性和完整性，防止软件包损坏，防止无效更新。这是安全要求。汽车制造商需要提供保护机制的详细描述，以确保只有经过认证和完整性检查的软件升级包才能在车辆上执行。许多技术要求，体现在软件升级管理系统上。

另一方面，法规要求模型具有RXSWIN。提出了RXSWIN独特的识别、更新、存储和读取要求以及防篡改保护。其次，对OTA软件升级提出了额外的要求。

RXSWIN是什么？作用是什么？R156法规对RXSWIN具体提出了哪些要求？

王淼：RXSWIN是RegulationXSoftwareIdentificationNumber的缩写。法规对RXSWIN提出了很多的要求，这里做简单的介绍。

RXSWIN指的是一个唯一标识符，它定义了一套软件，这套软件对于符合特定联合国条例“X”的型号认证系统是唯一的。RXSWIN代表了与车辆型式认证系统相关的一系列部件的软件版本集合。因此，当这个集合中某个部件的软件版本发生变化时，RXSWIN也需要发生变化。在此过程中，变更将涉及重新申请认证；在管理中，需要能够记录变更前后每个RXSWIN与软件版本之间的映射关系。在技术手段方面，我们应该能够实现监测机构指定的RXSWIN, OEM可以说明该车属于RXSWIN以及对应的软件版本，或者指定车辆，通过车辆软件版本收集信息，可以说明该车属于RXSWIN;在更新方法方面，OEM应该能够解释如何更新汽车端(如果存储)以及如何防止篡改RXSWIN。可以类比理解：如果VIN是车辆的“ID号”，那么RXSWIN就是车辆软件的“ID号”。

今后，在相关车辆投放市场前，或上市后实施软件升级前，应更新RXSWIN与新软件版本的映射关系，在车型认证制度受到影响时，应重新申请RXSWIN并进行相关认证。

车型要求中还包含了“对OTA软件升级提出了附加要求”。如今，车辆为消费者提供的功能越来越丰富，OTA成为了智能汽车的标配。“无升级，不智能”目前也是行业共识。能介绍一下相关法规要求，及简单分析一下对OTA行业的影响吗？

王淼：法规在车型要求章节中，对OTA软件升级提出的附加要求。总结来说，体现在OTA升级前、升级中、以及升级后的全过程。

在实施OTA升级之前，OEM必须提前告知客户升级的目的、升级的变化、预计完成时间、升级时不可用的车辆功能，以及任何可能帮助车主安全执行升级的指导。在这里，法规没有限制通知用户的具体形式。此外，OEM需要定义车辆升级开始前需要满足的先决条件，并确保在软件升级开始时满足这些先决条件。它还强调了确保只有当车辆有足够的动力完成更新过程时才执行软件升级包的能力。这包括恢复先前版本或保持车辆处于安全状态所需的功率。

那车型要求中，对于OTA升级过程中有哪些法规要求呢？

王淼：由于升级过程中失败的话，也会涉及到OTA“升级后”的要求，所以这里一并介绍。

首先，OEM应该展示如何安全地进行升级，以及需要技术手段来确保车辆处于安全状态以进行升级；并且可以确保在更新失败或中断的情况下，车辆可以将系统恢复到以前的版本，或者车辆可以进入安全状态。

此外，如果在驾驶时执行更新可能会导致不安全，那么OEM需要展示他们将如何确保车辆在执行升级期间不能被驾驶，以及他们将如何确保驾驶员不能使用任何可能影响车辆安全或成功执行更新的车辆功能。也就是说，如何设计车载“OTA模式”是有要求的。

最终，在执行升级后，OEM需要能够通知车辆用户升级的结果(成功或失败)，以及升级中实施的更改和用户手册中的所有相关更新(如果适用)。

这些要求都指向了OTA对车辆功能的影响以及告知车辆用户的要求。目前很多车厂在OTA宣传中提到的”无感升级“，与此是否存在冲突？

王淼：“无感升级”并非新鲜事物。简单来说，具备无感升级的零部件，一般是有A/B两个环境，一个激活工作，另一个非激活。因此可以实现在A正常支持车辆工作的同时去升级B，然后在适当的时机进行系统切换至B，运行新版本。但仍然需要在实施切换前，尽到告知客户的义务。

至于对车况的判断和升级的保障，这些都是可以按照流程来执行的，不会因为“无谓升级”的引入而产生很大的变化。

对于车辆用户来说，节省了零部件本身的升级时间。支持无感升级的部件越多，客户就会觉得升级过程越短。可以看出，越来越多的主机厂将支持车端高计算能力的智能部件进行无感升级。整车最终的升级时间瓶颈将是需要进入FlashBootloader的模块(如CANECU)进入scrub的更新时间。并行擦洗(即在多通道CAN上同时更新ecu)可以有效缩短整体擦洗时间。

这需要良好的并行写时序设计和容错处理，平台支持并行写序列的编译，车端多路径写过程的控制，网关良好的转发能力等。在这方面，Elabi拥有成熟且经过市场验证的解决方案。

看来这是一个新话题，我们可以约下次详细聊一下无感知升级。回到我们这次的主题，刚刚我们谈了车型升级认证以及软件升级的相关要求，那么针对OEM如何建设软件升级管理体系，是否提出了要求？

王淼：有的。这个要求主要体现在四个方面。法规原文就有比较明确的行文结构，我们可以直接引用：

法规中，“软件升级管理体系”，也对OTA软件升级提出了附加要求？

王淼：是的。法规本身，关注的是OTA升级对车辆用户驾驶车辆的影响以及对复杂升级行为的约束。即如果升级是在驾驶过程中进行，OEM需证明会采用流程和程序评估OTA升级不会影响安全；如果OTA升级需要特定技能或复杂操作(例如升级后需要重新校准传感器)时，OEM需有流程确保只有足够专业的人员在场或流程可控的情况下才能进行升级。

我们对ota的讨论过多地集中在ota做什么、它们做什么以及它们的意义上，而对如何建立一个支持oem从设计、开发到业务实现与ota合作的流程却关注不够。在方案设计之初，Erabi参考了国外标准施工的要求。目前，Erabi企业OTA是一款基于OTA的汽车软件管理系统，帮助汽车企业梳理定义。包括面向SOA新电子电气架构的汽车升级能力、汽车软件版本管理能力、营销与售后软件服务能力、消费级汽车软件大数据应用能力。

最后一个问题，了解一下目前国内是否有相对应的法规？

王淼：有的。国家强制性标准 《汽车软件升级通用技术要求》 于2021年10月立项，预计征求意见稿也将在2022年正式发布。相比R156，该标准还补充定义了车型认证的试验方法，对OEM及评测机构软件升级认证的落地，提供了强有力的指导。在该法规的制定过程中，作为专业的OTA升级技术服务供应商，艾拉比也对法规内容做了密切跟踪，并积极献言献策。