1. OTA升级系统总体架构
1.1 系统边界与分层逻辑
OTA升级系统是智能网联汽车的关键基础设施，其系统边界覆盖从云端升级包生成到终端ECU刷写的完整链路。系统对外提供升级任务管理、策略编排、车辆适配、差分下载、安全校验、断点续传、回滚恢复等能力；对内与车辆总线、诊断服务、电源管理、网络安全模块深度交互。
系统采用端-云-管三层解耦架构，每层有清晰的职责边界：
- 云端层（Cloud Layer）：负责升级包全生命周期管理、策略编排、车辆信息聚合与任务调度。不直接参与车端刷写过程，与车辆通过异步消息通信。
- 管道层（Pipe Layer）：负责数据分发、消息路由、CDN加速、连接管理。不存储升级包业务逻辑，只做可靠传输与协议转换。
- 终端层（Terminal Layer）：负责升级任务接收、差分还原、ECU刷写、校验与回滚。不依赖云端实时在线，支持离线断点续传。
边界原则：云端不刷写、管道不决策、终端不同步等待——三层各司其职，通过标准化接口协议（HTTP/2、MQTT、DDS）完成协同，避免职责交错导致的耦合与安全漏洞。
1.2 核心组件职责矩阵
下表列出三层架构中的核心组件及其关键职责：
| 分层 | 组件 | 核心职责 | 关键接口/协议 |
|---|---|---|---|
| 云端层 | 升级包管理服务 | 包版本管理、差分生成、签名加密、AB包存储 | 对象存储(S3/MinIO)、COS |
| 策略引擎 | 灰度规则、条件触发、批次编排、AB测试策略 | 规则引擎DSL、MQTT | |
| 车辆信息管理 | VIN/VIN范围管理、车型配置、ECU拓扑 | HTTP REST、GraphQL | |
| 管道层 | 消息网关 | 指令路由、QoS分级、离线缓存、设备认证 | MQTT、CoAP、WebSocket |
| CDN分发网络 | 边缘缓存、断点续传、动态加速、防盗链 | HTTP/2、HTTPS、Range请求 | |
| 终端层 | OTA Master | 任务调度、状态机管理、安全校验、回滚协调 | SOME/IP、DDS、UDS |
| 升级执行器 | 差分还原、分区写入、校验验证、错误恢复 | UDS 0x34/0x36/0x37 | |
| ECU备份回滚 | AB分区管理、备份快照、回滚触发、版本记录 | 本地Flash驱动、HSM |
1.3 端-云-管协同机制
三层之间的协同体现为数据流与控制流的双向闭环：
- 下行数据流：云端策略引擎将升级指令下发至消息网关，消息网关路由至目标车辆的OTA Master；同时升级包通过CDN分发至车端，由升级执行器差分还原并刷写。
- 上行控制流：OTA Master将执行状态、进度、错误码通过消息网关上报至策略引擎，形成“指令-执行-反馈-调整”的闭环。
- 协同机制：云端不等待车端实时响应，车端不依赖云端持续连接；通过QoS 1/2消息与离线缓存保证最终一致性。