تستقبل المركبة الحديثة عشرات تحديثات البرمجيات على مدى عمرها، يُسلَّم معظمها عن بُعد عبر T-Box. التحديث عبر الهواء على نطاق السيارات هو بقدر ما هو مشكلة تشفير وتخطيط للذاكرة واستعادة من الفشل، مشكلة اتصال أيضًا: فشل تحديث وحدة تحكم الفرامل أو البطارية أو الاتصال ليس إزعاجًا بل حدث أمان. تشرح هذه المقالة كيف تُبنى حملة OTA الآمنة، ولماذا حلَّت أقسام A/B محل الكتابة في المكان، وكيف تُرسّخ سلسلة الإقلاع الآمن الثقة في العتاد، وأين يقع T-Box بصفته المتحكم الرئيسي لتحديثات المركبة.
يسير التدفق النموذجي من السحابة إلى وحدة ECU على مراحل: يدير الواجهة الخلفية مجموعات المركبات وقوائم الجرد للإصدارات، يوقّع حزم التحديث ويدفع إشعار الحملة؛ يُنزّل T-Box الحزمة عبر الشبكة الخلوية أو Wi-Fi متحققًا من نقاط التفتيش لدى وصولها؛ يقرر مدير تحديث داخل المركبة التوقيت وفق حالة المركبة (متوقفة، قيد الشحن، بطارية كافية)؛ وتُكتب وحدات ECU المستهدفة عبر CAN-FD أو إيثرنت السيارة باستخدام تسلسل UDS الموصوف في مقال CAN/UDS لدينا. ترفع القياسات عن بُعد نتيجة كل مركبة إلى السحابة، مانحة مدير الحملة حلقة نجاح/فشل مغلقة والقدرة على إيقاف النشر لحظة ارتفاع معدلات الشذوذ.
صور ECU الكاملة عبر الشبكة الخلوية مكلفة، لذا تستخدم المنصات حزمًا تفاضلية (دلتا): خوارزميات الفرق الثنائي مثل bsdiff تُرمِّز فقط البايتات التي تغيّرت بين البرمجية القديمة والجديدة، مُقلِّصة تحديثًا حجمه 200 ميجابايت إلى بضعة ميجابايتات. تعيد المركبة بناء الصورة الكاملة محليًا مقابل إصدارها الحالي المعروف، ولهذا تهم قائمة الجرد الدقيقة للإصدارات: لا ينطبق الدلتا إلا على خط الأساس الدقيق الذي بُني منه. التنزيلات قابلة للاستئناف، مُجدولة وفق الفلاش الحر ومُفضَّلة على الشبكات غير المحدودة.
تُبقي تخطيط الذاكرة الأكثر أمانًا نسختين كاملتين من البرمجية، حسب العرف خانتا A وB. يعمل النظام من الخانة النشطة بينما تُكتب التحديثات وتُتحقق وتُجهَّز في الخانة غير النشطة — لا تُمسّ المركبة العاملة أبدًا. عند إعادة الإقلاع التالية يجرب مُحمِّل الإقلاع الخانة المكتوبة حديثًا؛ إذا أقلعت وأكّدت سلامتها خلال نافذة محددة، تُعلَّم كنشطة. إذا فشل أي شيء، يرتد مُحمِّل الإقلاع ببساطة عند البدء التالي إلى الخانة السابقة غير الملموسة. هذا يجعل التحديث الرديء ذاتي الشفاء ويزيل النافذة الخطرة التي لا يترك فيها الكتابة في المكان المنقطعة أي برمجية قابلة للتشغيل إطلاقًا.
يعتمد أمان التحديثات في نهاية المطاف على الإقلاع الآمن. تبدأ الثقة في كود ROM غير القابل للتغيير وتتوالى مرحلة تلو مرحلة، حيث تتحقق كل طبقة من التوقيع الرقمي للطبقة التالية قبل تنفيذها:
بما أن T-Box هو وحدة ECU الوحيدة المكشوفة للإنترنت العام، فهو جدار الحماية المحيطي للمركبة. يشمل التحصين: TLS متبادل المصادقة لجلسات السحابة؛ اتصالًا آمنًا على متن المركبة (رسائل CAN مُصادَقة ومحمية من إعادة الاستخدام وفق AUTOSAR SecOC) كي لا يستطيع T-Box المخترق أن يأمر وحدات ECU الداخلية بحرية؛ تسجيل اكتشاف التسلل؛ حسابات خدمة بأقل الامتيازات؛ وعمليات استجابة سريعة للثغرات متماشية مع معايير مثل ISO/SAE 21434 وUN R155/R156، التي تجعل إدارة الأمن السيبراني والقدرة على التحديث التزامًا لاعتماد النوع في كثير من الأسواق.
يجب ألا تفقد وحدة ECU الطاقة في منتصف التحديث. Weijiang Power تُورّد خلايا احتياطية NiMH وليثيوم واسعة الحرارة وحزمًا مخصصة تُمكِّن T-Box من تجاوز انقطاع الإمداد وإكمال دورة كتابة أو إحباطها بأمان، بعمر تقويمي طويل يطابق نافذة دعم تحديثات المركبة. أرسل لنا تصميم الخط وأطول مدة تحديث، وسيقيس مهندسونا طاقة الإبقاء خلف استراتيجية OTA الآمنة من الفشل.
