現代車輛在其壽命期間會收到數十個軟體更新，其中多數透過T-Box遠端交付。汽車規模的無線（OTA）更新，既是連線問題，同樣也是密碼學、記憶體布局與故障復原問題：制動、電池或連線控制器更新失敗，不是不便，而是安全事件。本文說明安全OTA活動如何組織、A/B分割區為何取代原地燒錄、安全啟動鏈如何把信任錨定在硬體，以及T-Box做為車輛更新主控的位置。

OTA活動架構

典型流程從雲端到ECU分階段進行：後端管理車輛群組與版本清單，對更新套件簽章並推送活動通知；T-Box透過蜂巢或Wi-Fi下載套件，在送達時驗證檢查點；車內的更新管理員依車輛狀態（駐車、充電中、電池充足）決定時機；目標ECU則透過CAN-FD或車用以太網路，使用我們CAN/UDS文章所述的UDS序列燒錄。遙測把每輛車的結果回報雲端，讓活動管理者擁有成功/失敗的閉迴路，並能在異常率上升的當下暫停推送。

增量更新與下載策略

透過蜂巢網路傳輸完整ECU映像檔成本高昂，因此平台使用差分（增量）套件：bsdiff等二進位差分演算法只編碼新舊韌體之間變更的位元組，把200MB的更新縮減到數MB。車輛依其已知的目前版本在本機重建完整映像檔，這正是精確版本清單重要的原因：增量只適用於它所建立的確切基線。下載可續傳，依可用快閃記憶體分階段，並優先安排在非計量網路。

A/B分割區：不讓裝置承擔風險地更新

最安全的記憶體布局保留兩份完整韌體，慣例為A、B兩個插槽。更新寫入、驗證並準備在非作用中插槽時，系統從作用中插槽執行——執行中的車輛絕不被觸碰。下次重新開機時，開機載入程式嘗試新寫入的插槽；若它開機並在定義的窗口內確認健康，就被標記為作用中。若有任何失敗，開機載入程式在下次啟動時直接回退到未經更動的前一個插槽。這讓不良更新能自我修復，並消除原地燒錄中斷後完全沒有可執行韌體的危險窗口。

安全啟動信任鏈

更新安全最終建立在安全啟動之上。信任始於不可變的ROM程式碼，並逐階段層層傳遞，每一層在執行下一層前先驗證其數位簽章：

• 信任根 — 製造時熔入硬體的公開金鑰雜湊，無法在現場變更。
• 分階段驗證 — ROM驗證開機載入程式，後者驗證作業系統/虛擬機監控程式，再驗證應用程式與ECU映像檔，包括OTA套件。
• 防回滾 — 安全儲存中的單調版本計數器拒絕較舊的簽章映像檔，防止攻擊者回復到具有已知漏洞的版本。
• 安全儲存與金鑰處理 — 簽章金鑰絕不離開後端HSM；車輛只持有公開驗證素材，機密則置於安全元件或TrustZone世界中。

做為安全邊界的T-Box

由於T-Box是唯一暴露於公用網際網路的ECU，它是車輛的周邊防火牆。強化措施包括：雲端工作階段使用相互驗證的TLS；安全車載通訊（AUTOSAR SecOC下經驗證、具新鮮度保護的CAN訊息），使被攻破的T-Box無法任意指揮內部ECU；入侵偵測記錄；最小權限服務帳號；以及符合ISO/SAE 21434與UN R155/R156等標準的快速漏洞回應流程，這些標準在許多市場把網路安全管理與更新能力列為型式認證義務。

設計可信賴的更新活動

• 為每次更新設定前置條件：充足電量、穩定駐車狀態、足夠快閃空間，並保證無中斷窗口。
• 使用具自動回滾與明確健康確認標準的A/B插槽。
• 對每個套件端對端簽章，啟用前驗證，並強制執行防回滾計數器。
• 以分階段群組推送並配備斷路開關監控；即使在最壞故障後，也讓每個ECU可透過UDS復原。

Weijiang Power：為安全更新提供電源保障

ECU不可在更新途中失去電源。Weijiang Power供應寬溫的NiMH與鋰電備用電芯，以及客製電池包，讓T-Box能度過供電中斷，完成或安全中止燒錄週期，並具備與車輛更新支援窗口相符的長日曆壽命。把您的電源軌設計與最壞情況的更新時間告訴我們，我們將為防故障OTA策略設計背後的保持電源。