1. OTA功能安全概述
各位同学，咱们今天聊聊OTA升级在汽车电子里的角色，以及它带来的功能安全新挑战。说实话，这个主题我讲了快五年，每次都有新感悟。
OTA，全称Over-The-Air，就是通过无线网络给汽车刷软件。你想想看，以前车子出问题得开回4S店，插线刷机。现在呢？云端一发，车子自己就升级了。方便是真方便，但风险也是真的大。
1.1 OTA升级在汽车电子中的角色
OTA在车里到底扮演什么角色？我个人习惯把它分成三类：
- SOTA（软件OTA）：升级娱乐系统、导航地图这类非安全相关软件。说白了就是让车机更好用。
- FOTA（固件OTA）：升级ECU固件，比如发动机控制器、刹车控制器。这个就敏感了，动的是底层。
- COTA（配置OTA）：改车辆配置参数，比如解锁某个功能、调整标定参数。
我在项目中遇到过一家主机厂，他们最初只做SOTA，觉得FOTA太危险。后来竞争对手都上了，没办法硬着头皮上FOTA。结果第一次升级就把一台测试车的BMS（电池管理系统）刷挂了。嗯，这里要注意，FOTA不是你想上就能上的。
核心观点：OTA已经从"锦上添花"变成了"必备能力"。没有OTA的车，现在都不好意思叫智能汽车。
1.2 功能安全标准ISO 26262简介
说到功能安全，就绕不开ISO 26262。这个标准是汽车电子功能安全的"圣经"。它从2011年第一版，到2018年第二版，一直在演进。
ISO 26262的核心思想是什么？说白了就一句话：把风险降到可接受的水平。
它通过ASIL等级（A、B、C、D）来定义风险等级。ASIL D最高，比如刹车、转向；ASIL A最低，比如车窗、座椅。
| ASIL等级 | 严重度 | 暴露概率 | 可控性 | 典型系统 |
|---|---|---|---|---|
| ASIL A | 轻伤 | 低 | 容易控制 | 车窗、座椅 |
| ASIL B | 重伤 | 中 | 一般可控 | 大灯、雨刮 |
| ASIL C | 危及生命 | 高 | 难以控制 | 转向助力 |
| ASIL D | 致命 | 极高 | 几乎不可控 | 刹车、转向 |
我记得刚入行时，觉得ASIL D就是"最高安全等级"，做到就万事大吉。后来踩了坑才明白，ASIL D只是告诉你"必须做到这个级别的安全"，但怎么做、做到什么程度，全靠你自己。
小提示：ISO 26262不是一本"菜谱"，它是一套"框架"。它告诉你"要做什么"，但不告诉你"具体怎么做"。具体怎么做，就是我们这门课要讲的内容。
1.3 OTA升级带来的新风险
OTA升级引入的风险，跟传统开发完全不一样。我总结了几点：
- 升级中断风险：升级到一半，车子断电、网络断、存储空间不够。怎么办？
- 版本兼容风险：新固件跟旧硬件不匹配，或者跟其他ECU不兼容。
- 安全攻击风险：OTA通道被劫持，恶意固件被刷进去。
- 回滚风险：升级失败后，能不能回到旧版本？回滚过程本身有没有风险？
- 验证覆盖风险：OTA升级的测试场景，比传统开发多得多。你想想看，不同车型、不同配置、不同网络环境，怎么测全？
我曾经在一个项目里，OTA升级把网关的配置表刷坏了。结果车子启动后，CAN总线上的报文全乱套了。刹车信号被当成油门信号……还好是在测试场，不然后果不堪设想。
警告：OTA升级不是"远程刷个机"那么简单。它涉及整车网络、安全、诊断、功能安全等多个领域。任何一个环节出问题，都可能导致严重后果。
为了让大家更直观地理解OTA功能安全的核心逻辑，我画了一张图：
这张图想表达什么？OTA功能安全不是单点的事。云端、传输通道、车端，每一环都有风险。你得从标准出发，层层设防。
好了，这一章我们聊了OTA的角色、ISO 26262的基本概念，以及OTA带来的新风险。这些都是后面课程的基础。你想想看，如果连风险都识别不全，后面的验证工作怎么做？