1. 课程导入
软件定义汽车（Software-Defined Vehicle，SDV）正在把汽车从“出厂即定型”的机械电子产品，变成可持续迭代的移动计算平台。传统整车软件多在产线刷写、售后诊断或OTA整包升级中完成更新，而车端应用动态部署关注的是：在车辆运行生命周期内，把应用、服务、配置甚至运行时依赖，以可控、可回滚、可观测的方式部署到车端计算节点，并让它们与整车E/E架构、SOA服务、资源约束和安全策略协同工作。本课程围绕这一工程问题展开，目标是让学习者既能理解架构与原理，也能落地部署流程、工具链与排障方法。
一、学习目标：从“会刷写”到“会部署”
本课程不是简单的OTA刷写教程，而是面向车端应用全生命周期的动态部署工程。完成学习后，你应当能够：
- 理解部署对象：区分ECU固件、AUTOSAR AP/CP应用、容器化服务、AI推理模型、配置与标定数据等不同部署单元的边界与依赖。
- 掌握部署机制：理解A/B分区、差分升级、容器镜像分发、服务编排、灰度发布、回滚策略在车端的适配方式。
- 建立资源与安全约束意识：在CPU、内存、带宽、存储、功耗、功能安全与信息安全约束下做部署决策。
- 具备工程落地能力：能设计部署包结构、编写部署描述文件、配置车云协同通道、分析部署日志并定位失败原因。
- 形成系统思维：把部署看作“车端运行时 + 云端编排 + 通信链路 + 安全策略 + 可观测性”的联合系统。
二、核心概念：部署单元、运行时与编排
车端动态部署的核心概念可以归纳为三层：部署单元、车端运行时和部署编排。部署单元是实际被分发和安装的最小对象，例如一个容器镜像、一个AP应用包、一个模型文件或一组标定参数。车端运行时负责接收、校验、解压、安装、启动、监控和回滚这些单元，常见形态包括AUTOSAR Adaptive Platform、Linux容器运行时、Hypervisor隔离域以及混合关键性调度框架。部署编排则位于云端或车云协同层，负责版本管理、目标车辆选择、依赖解析、灰度策略、任务下发和状态回收。
关键认知：动态部署不是“把文件拷进去”，而是“在正确的时间、正确的节点、以正确的依赖顺序、在安全边界内，让正确版本的应用进入可运行状态，并保留可回退路径”。
与消费电子OTA不同，车端部署必须同时面对功能安全（ISO 26262）、信息安全（ISO/SAE 21434）、法规合规（UN R155/R156）以及整车网络约束（CAN、以太网、SOME/IP、DDS）。因此，部署策略往往不是单一技术，而是多种机制的组合。
三、整体框架：车云协同的动态部署系统
下图给出本课程贯穿始终的整体框架。左侧是云端部署编排与制品仓库，中间是车云通信与安全通道，右侧是车端计算节点与运行时，底部是可观测性与回滚闭环。图中同时标出了部署包、签名校验、A/B分区、容器运行时、服务注册、灰度策略和回滚通道等关键对象，后续章节将逐一展开。
四、方法流程：一次动态部署的典型生命周期
无论采用容器、AP应用还是差分升级，车端动态部署通常遵循以下流程。理解这条主线，后续章节中的工具、参数和排障手段才有挂靠点。
- 版本构建与制品入库：CI流水线产出部署包，记录版本号、依赖、兼容矩阵、签名和哈希。
- 部署计划生成：云端根据车辆标签、当前版本、硬件能力、网络状态生成部署任务。
- 安全传输：通过TLS双向认证通道下发，支持断点续传、差分传输和带宽限速。
- 车端校验：验证签名、证书链、哈希、版本兼容性和存储空间。
- 安装与激活：写入备用分区或拉取镜像，按依赖顺序启动服务，完成服务注册。
- 验证与灰度：采集健康指标、功能自检和业务指标，决定扩大灰度或暂停。
- 回滚或固化：失败则切回旧版本；成功则固化版本并上报状态。
下面是一个简化的部署描述文件示例，用于说明车端部署包需要声明哪些关键信息：
{
"app": "adas.perception",
"version": "2.4.1",
"target": "domain-controller-a",
"runtime": "container",
"dependencies": ["sensor.fusion:>=1.8", "map.service:2.x"],
"resources": { "cpu": "2 cores", "memory": "1.5Gi", "gpu": "1" },
"strategy": { "type": "canary", "batch": "5%", "autoRollback": true },
"healthCheck": { "path": "/healthz", "timeout": "30s" },
"signature": "sha256:9f2c...e1a7"
}五、案例与场景：从“整包升级”到“按需部署”
假设某车型需要把泊车辅助算法从1.8升级到2.0。传统做法是整包OTA，下载量大、影响面广、回滚慢。动态部署方式则可以把算法模型、推理服务配置和标定参数拆成三个部署单元：模型文件走差分传输，推理服务走容器镜像灰度，标定参数按车型配置下发。部署代理先校验依赖，再在备用分区安装，启动新版本服务并注册到SOA总线，健康检查通过后逐步扩大灰度比例。若发现推理时延超标，自动回滚到1.8版本，同时保留日志供复盘。
场景要点：动态部署的价值不只是“快”，更在于缩小影响面、缩短回滚时间、让版本与车辆状态可追溯。对安全关键功能，部署策略必须与功能安全概念阶段定义的ASIL等级和降级策略一致。
六、常见误区与复盘清单
初学者容易把动态部署等同于“远程安装”。以下误区在真实项目中反复出现，建议在学习过程中持续对照。
| 误区 | 问题本质 | 正确做法 |
|---|---|---|
| 只关注下载速度 | 忽略校验、安装、激活和回滚耗时 | 端到端度量部署时长，设置超时与重试策略 |
| 忽略依赖顺序 | 服务启动失败或接口不兼容 | 声明依赖与兼容矩阵，按拓扑顺序激活 |
| 没有回滚路径 | 失败后车辆功能不可用 | A/B分区、镜像保留、自动回滚阈值 |
| 安全策略后置 | 签名、证书、权限未纳入部署流程 | 签名校验前置，最小权限运行，审计留痕 |
| 缺少可观测性 | 失败原因无法定位 | 部署日志、指标、事件与版本状态统一采集 |
七、学习路径：四周建立工程能力
本课程共30章，建议按“概念—机制—工具—实战—复盘”的路径推进。第一周建立SDV E/E架构、SOA与车端运行时基础；第二周深入部署包、依赖管理、A/B分区与容器化部署；第三周进入车云协同、灰度发布、安全合规与可观测性；第四周通过综合案例完成从部署计划到回滚复盘的完整闭环。每章都会围绕一个可验证的工程问题展开，最终形成可复用的部署工程方法论。
学习提醒：动态部署涉及功能安全与信息安全，任何实验都应在台架或授权测试环境中进行，不要直接在量产车辆上验证未签名的部署包。
当你完成本课程后，应当能够独立设计一个车端应用的动态部署方案，说明其部署单元、运行时、通信链路、安全策略、灰度与回滚机制，并能根据日志和指标定位常见失败原因。这正是SDV时代车端软件工程师的核心能力之一。