35次重大迭代、超90项新功能，FOTA如何让蔚来成为会成长的车？

如果以一项技术为标准来给汽车划分新/旧世代，它应该是“FOTA”。

OTA，Over the Air，也就是大家所熟知的在线升级技术。凭借OTA，可以让一个设备在硬件不变的基础上与时俱进，不断获得功能更新，就像你手里的智能手机。

汽车也是如此。随着汽车的“新四化”，越来越多的车型都搭载了OTA技术，但同样是OTA，在可以实现的功能上却有巨大差距。

15日，蔚来在上海开展了一场关于FOTA的Workshop，向我们分享了诸多FOTA背后的故事。

SOTA 与 FOTA

许多车型的OTA，实际上只能对车辆的娱乐系统进行升级，更进一步的，可能会涉及到液晶仪表盘等交互界面，例如增加新的仪表盘特效等等。

但“完全体”的OTA绝不满足于此，它甚至可以对车辆的性能进行远程升级。例如，蔚来在4月底推送了NIO OS的2.6.1版本，通过这次更新，部分搭载了空气悬架的 蔚来ES8和ES6迎来了一次“在线调教”，车主们惊奇地发现，自己的车对细小震动的过滤更细致了，姿态更平稳了，开起来更舒服了。

这就是SOTA与FOTA的区别。前者是SOTA，Software Over the Air，也就是软件在线升级。蔚来则属于FOTA，Firmware Over the Air，固件在线升级。（当然，你也可以把它理解成Full Over the Air，也就是整车在线升级。）

虽然都叫OTA，但很显然，SOTA和FOTA为用户带来的价值是截然不同的。

仅支持SOTA的车辆，只能在不涉及到车辆行驶、操控、安全等基层系统的基础上，对软件系统进行升级，这意味着只有娱乐系统具有可在线升级性。而涉及到车辆底层系统的，即便只是一些小问题，也需要在专门的场所由专人来负责维护修复，无法远程实现。

而支持FOTA的车辆则不会受到诸多掣肘，理论上可以对整车上的所有功能进行远程升级、调试。例如车门车窗控制、喇叭的调教、灯光的控制、ADAS系统、甚至是车辆的操控等等。

如前面提到的蔚来，即便是空气悬架这种看似只能由工程师调教的部件，也可以通过远程升级调整参数而实现。而当车辆遇到一些小的软件问题时，也无需特意将车辆开到4S店进行刷写，一次版本更新往往就可以解决掉，节省了车主的大量时间和心力，对用车体验有显著的提升。

可以说，FOTA为车辆提供了无限可能。在购车时没有的功能，只要车辆的硬件支持，后续都有可能通过FOTA实现；车主对车辆的需求，也可以通过FOTA提供。正如蔚来的FOTA，虽仅上线不到2年的时间，却已进行了35次重大迭代，新增了超过90项新功能，并提供了220项功能优化。

从NIO SO的版本发布节奏表上也不难看出，蔚来这种支持FOTA的车型可以持续且密集地为已上市的车辆提供功能和性能更新。例如2018年12月新增的自动紧急制动、2019年6月新增的拥堵自动辅助驾驶、2019年7月新增的全自动泊车、以及最近刚刚上线的NIO SO浅色模式等等。

FOTA的优势这么明显，为什么市面上却鲜有支持FOTA的车型？是技术难度太大？还是成本太高？

FOTA 为何“稀有”

其实，FOTA实现起来并不难，难的是大范围应用。

车辆上的一切功能，都是通过一个个ECU（Electronic Control Unit，电子控制单元）实现的。以关闭车窗为例，当我们按下车窗键，实际上是将电信号传输给负责门窗控制的ECU，然后再由ECU控制车窗电机，将车窗玻璃升起。

像蔚来ES8，整车就包含有35个高安全标准的ECU，它们各司其职，执行着车主的一个个指令。那么，只要对这些ECU的固件进行刷写，就可以实现功能上的更新，而如果将这个刷写过程联网实现远程化，那么FOTA就实现了。

这种对ECU的远程刷写，以现有车企的技术实力来说，实现起来并不难。但现实是，市面上仅有蔚来、特斯拉、小鹏等少数厂商的车型具备FOTA能力，更多的车企则选择了SOTA。

这很好理解，因SOTA在远程刷写ECU时，不涉及到车辆的操控、动力、安全等底层系统，即便SOTA时出现问题，例如对ECU刷写失败，或者写入了错误的固件，都不会影响到车辆的行车及安全，不会造成严重的安全隐患。

而FOTA，因为车上几乎所有的ECU都是可远程刷写的，涉及到了动力、安全、操控等关键的底层系统，那么想要保证FOTA可以大范围的应用，就要对FOTA系统的安全性提出极高的要求。

正如蔚来的技术人员在Workshop提到的一样：“FOTA，最坏的情况不是刷写失败，而是给ECU写入了错误的固件。刷写失败无非会让车辆无法正常启动、行驶，而错误的固件则是会让车辆在行驶过程执行错误的操作，这个是很可怕的。”

蔚来 FOTA 的四重保障

蔚来是国内首家大规模提供FOTA的自主厂商，迄今已推送了超过26万车次的更新。这一数字的背后，是蔚来自主研发的核心域控制器，以及拥有四重安全保障的FOTA体系。

域控制器可以理解为前文提到的ECU，核心则是指车辆中的关键系统，如ADAS控制、电机控制、电池管理、Nomi等等。这些核心域控制器的自主研发，一方面保证了蔚来对车辆的绝对理解，更利于固件的开发；另一方面则有着更好的封闭性，保证了FOTA过程中的安全性。

针对FOTA对安全的极端需求，蔚来还设计了包括“数据规范化”“服务中台化”“体系化支撑”和“极致安全策略”在内的四重保障。

通过数据规范化，蔚来对ECU固件、软硬件兼容、功能适配等制定了严格的规则，让FOTA的固件从源头上就拥有极高的可靠性和兼容性。

在固件开发完成后，蔚来还有一套严格设定的安全策略。固件从初步配置到实际发布，需要经过台架测试、政策台架测试、实车测试、用户场景测试等一系列的测试和数据分析，以保证固件的稳定性、可靠性、安全性。

当然，固件的推送最好也是由系统自动完成，因为人难免会犯错。所以蔚来还设计了一整套FOTA自动推送功能，系统会自动根据不同车辆的硬件、软件版本、功能特性等信息，针对每一辆车指定单独的FOTA升级路径，并生成该车专用的升软件包，以实现一车一包。

此外，在车辆端FOTA系统还会对软件包进行验证。系统推送到车的软件包都进行了加密处理，并且内含多个安全证书以及签名信息，在系统比对无误后，才会对软件包进行部署，如果检测到软件包有误，则及时终止更新。

常用常新 用户是根本

我们常说蔚来是一家用户至上的服务型车企，很多人对这句话的理解仅限于服务态度、服务理念等等。但实际上，FOTA的存在，也是蔚来用户至上理念的体现。

FOTA可以通过不断的增加新功能让车辆实现与时俱进、常用常新，但增加怎样的功能，对车辆进行怎样的调整，则主要取决于用户的需求。

对蔚来的FOTA来说，每次更新的新功能，都是通过各个服务渠道从用户的口中得知的，包括400电话客服、NIO House、Fellow、Nomi等等。当车主有什么针对车辆的改进建议，或者有什么希望实现的功能，只要通过这些渠道进行反馈，需求最终都会被汇总到蔚来的软件开发交付体系当中。

东北的冬季气候寒冷，选择电动汽车的人很少，所以在ES8研发时蔚来并没有针对北方地区推出针对性的驾驶模式。但是当ES8上市之后，蔚来意外地发现有不少车主来自东北，他们普遍反映适时四驱的ES8在冬天尤其是雨雪天气下驾驶存在优化可能，蔚来的软件开发部门接收到这一需求，开发出了全时四驱的“雪地模式”功能，并通过FOTA功能进行了快速部署。

这就是一个通过FOTA满足车主需求的典型案例，类似的情况在蔚来的35次重大迭代中还有很多，但都贯彻了蔚来用户至上的服务理念。

到这里，相信大家对车辆的FOTA已经有了足够的了解。

其实FOTA要做并不难，难的是如何做好，这其中则涉及到了非常多的安全考量。而仅将FOTA技术做的足够好也并不能从本质上改变车主的用车体验，还需要对FOTA有足够持久且精细化的运营，持续地获取用户需求，不断给用户新的功能，这才是真正意义上的完全体“FOTA”。

目前看来，全球范围内能够做到“做好FOTA”的车企只有寥寥数家，做到第三阶段的恐怕就只有蔚来与特斯拉了。但我们相信，随着汽车市场的升级，车主对车辆要求的提高，车辆的FOTA能力终将成为人们的刚需。而在FOTA领域具有先发优势的车企，也必将享受其长久技术积累所带来的巨大红利。