現代の車両はその生涯で数十件のソフトウェア更新を受け取り、その多くはT-Boxを通じてリモートで配信されます。車載スケールでの無線（OTA）更新は、接続性と同じくらい暗号、メモリ配置、障害復旧の問題です。ブレーキ、バッテリー、接続のコントローラーで更新に失敗することは、不便ではなく安全上の事象です。本記事では、セキュアOTAキャンペーンの構造、A/Bパーティションがその場での書き換えに取って代わった理由、セキュアブートチェーンがハードウェアに信頼を固定する仕組み、そしてT-Boxが車両の更新マスターとしてどこに位置するかを説明します。
標準的な流れはクラウドからECUへ段階的に進みます。バックエンドが車両コホートとバージョン在庫を管理し、更新パッケージに署名してキャンペーン通知をプッシュします。T-BoxはセルラーまたはWi-Fiでパッケージをダウンロードし、到着に合わせてチェックポイントを検証します。車内の更新マネージャーが車両状態（駐車中、充電中、十分なバッテリー）に照らしてタイミングを判断し、対象のECUはCAN-FDまたは車載イーサネット経由で、当社のCAN/UDS記事で説明したUDSシーケンスを使って書き換えられます。テレメトリーが各車両の結果をクラウドに報告し、キャンペーン管理者に成功/失敗の閉ループと、異常率が上昇した瞬間にロールアウトを一時停止する能力をもたらします。
セルラー経由の完全なECUイメージは高コストなので、プラットフォームは差分（デルタ）パッケージを使います。bsdiffなどのバイナリ差分アルゴリズムは、新旧ファームウェア間で変更されたバイトだけをエンコードし、200MBの更新を数MBへ縮小します。車両は既知の現在バージョンに対してローカルで完全イメージを再構築するため、正確なバージョン在庫が重要です。差分はそれが構築された正確なベースラインにのみ適用されます。ダウンロードは再開可能で、空きフラッシュに合わせて段階化され、優先的に非従量制ネットワークで予定されます。
最も安全なメモリ配置は、慣例的にAスロットとBスロットというファームウェアの完全なコピーを2つ保持します。更新が非アクティブスロットに書き込まれ、検証され、準備される間、システムはアクティブスロットから動作します。動作中の車両には一切触れません。次の再起動時にブートローダーが新しく書き込まれたスロットを試し、定義されたウィンドウ内で起動して正常性を確認すると、アクティブとしてマークされます。何か失敗した場合、ブートローダーは次の起動時に手つかずの以前のスロットへ単純にフォールバックします。これにより不良な更新は自己修復し、中断されたその場での書き換えが実行可能なファームウェアを一切残さない危険なウィンドウがなくなります。
更新のセキュリティは最終的にセキュアブートにかかっています。信頼は不変のROMコードで始まり段階ごとにカスケードし、各レイヤーが次のデジタル署名を実行前に検証します：
T-Boxは公衆インターネットに露出する唯一のECUであるため、車両の境界ファイアウォールです。強化には、クラウドセッション向けの相互認証TLS、侵害されたT-Boxが内部ECUを自由に操作できないようにするセキュアな車載通信（AUTOSAR SecOCによる認証済みで鮮度保護されたCANメッセージ）、侵入検知のログ、最小権限のサービスアカウント、そしてISO/SAE 21434やUN R155/R156などの規格に沿った迅速な脆弱性対応プロセスが含まれます。これらは多くの市場でサイバーセキュリティ管理と更新能力を型式承認の義務としています。
ECUは更新の途中で電源を失ってはなりません。Weijiang Powerは、T-Boxが給電中断を乗り切り、書き換えサイクルを完了または安全に中止できるようにする、広温度域のNiMHおよびリチウムバックアップセルとカスタムパックを供給します。車両の更新サポート期間に見合う長いカレンダー寿命を備えています。レール設計と最悪時の更新時間をお送りいただければ、フェールセーフなOTA戦略を支える保持電源を設計します。
