OTA的代碼變化會以意想不到的方式給系統(tǒng)帶來壓力。

OTA更新可以在較長的芯片和系統(tǒng)壽命中減少系統(tǒng)過時的現(xiàn)象，但這些更新也會影響可靠性與性能，并影響各種資源，如內(nèi)存和各種處理元素的使用方式。

人們已非常熟悉智能手機和電腦的OTA更新，其中的軟件堆棧（固件、操作系統(tǒng)、驅(qū)動程序和應(yīng)用程序）需要頻繁地注入代碼來解決問題，增加功能或解決網(wǎng)絡(luò)安全威脅。但在工業(yè)機械、汽車和數(shù)據(jù)中心等應(yīng)用中，設(shè)備規(guī)劃的使用壽命更長，這些更新會以意想不到的方式給設(shè)備或系統(tǒng)的不同部分帶來壓力。

與智能手機不同，一次更新的故障可能需要快速的后續(xù)更新（其他軟件或固件的一系列更新可能會受到這些更新的影響），當涉及安全或關(guān)鍵任務(wù)功能時，出錯的余地要小得多。多個系統(tǒng)的任何更新都會進一步給已經(jīng)在極端條件下工作的系統(tǒng)帶來壓力，從而以從未設(shè)計使用過的方式利用電路。

在機械方面，這些系統(tǒng)可能會受到振動和偶爾的沖擊，以及溫度大幅波動的壓力。在電氣方面，電路可能因快速啟動產(chǎn)生的快速浪涌電流、老化效應(yīng)以及來自各種來源的多種類型的噪聲而受到壓力。因此，我們需要很好地理解OTA更新對這些系統(tǒng)的影響，它可能因不同的實施而有所不同。

盡管如此，這些更新對于避免（或至少推遲）電子元件的物理更換是至關(guān)重要的。在車載應(yīng)用中，車輛可能會在路上行駛幾十年。在此期間，與其他車輛和基礎(chǔ)設(shè)施交互的能力將不斷發(fā)展，協(xié)議和標準也將不斷發(fā)展。

更新可以改變單個電路或整個系統(tǒng)的基本行為。這一點在電池管理方面尤其明顯，老化可能會減少一次充電的續(xù)航。Apple一直在提供一個“性能管理”選項，降低老款iPhone的整體性能，以補償這些老化效應(yīng)。同樣的方法也可用于電動車，但不是降低性能，而是每次充電續(xù)航里程會減少。

西門子EDA汽車測試解決方案經(jīng)理Lee Harrison說：“電池技術(shù)也是這樣的過程，系統(tǒng)會收集關(guān)于電池性能的數(shù)據(jù)。隨著車輛的定期OTA更新，他們正在調(diào)整電池管理，以根據(jù)電池的老化情況提供最佳性能。我們可以對車輛中的其他電子設(shè)備進行同樣的操作。但這也依賴于一個假設(shè)，即這些系統(tǒng)受到同樣的老化影響。如果它是完全隨機的，那么你對這些數(shù)據(jù)就無能為力了。”
不過，更新并不是在所有地方都有效，而且即使有效，在某些時候仍然可能需要新硬件。

Harrison說：“我們確實與一家OEM討論過，該公司實際上在車輛的設(shè)計周期和生命周期中至少考慮一次硬件更換，以解決在車輛使用期間可能出現(xiàn)的任何挑戰(zhàn)。我們對嵌入式分析技術(shù)所做的努力是使它盡可能地可配置。因此，你可以在車輛的整個生命周期內(nèi)對其進行更新，并且希望我們已經(jīng)使其足夠靈活，以解決那些新威脅。我們不會捕捉所有的威脅，但它足夠靈活，在這方面做得相當好。”

為更新做計劃

更新的影響可能遠遠超出單個設(shè)備或子系統(tǒng)。它們常常影響到供應(yīng)鏈的其他部分。所有這些都需要在設(shè)計之初就加以考慮。
Arm的研發(fā)人員Rob Aitken說：“從架構(gòu)開始，你必須考慮在CPU、周圍的邏輯、I/O等實際需要存在的東西。提供數(shù)據(jù)需要什么？你能用這些數(shù)據(jù)做什么？我們在IoT領(lǐng)域遇到的很多問題是，如果你要做某種設(shè)備管理，作為芯片生命周期管理的一部分，你如何進行升級？軟件如何更新？設(shè)備如何信任軟件供應(yīng)商？云服務(wù)如何知道要信任設(shè)備？在這個過程中，有很多問題和挑戰(zhàn)?！?/span>

Arm的容器化方法，現(xiàn)在是SOAFEE（Scalable Open Architecture for Embedded Edge）的一部分，有助于隔離和減少OTA更新的影響（資料來源：Arm/soafee.io）
在大多數(shù)任務(wù)和安全關(guān)鍵應(yīng)用中，系統(tǒng)都與其他系統(tǒng)相連。通常情況下，它們需要同步更新，這意味著更新必須經(jīng)過極其周密的考慮。
Synopsys市場和業(yè)務(wù)發(fā)展副總裁Steve Pateras說：“如果你看一下汽車設(shè)計自動化，它不僅僅是芯片制造商，因此，你可能會與集成商、Tier 1、OEM交談，但也是這些系統(tǒng)的終端用戶。你希望隨著時間的推移優(yōu)化性能。因此，當隨著進入生命周期的后期階段時，機會的范圍就會擴大?！?/span>
但是，供應(yīng)鏈規(guī)模越大、越多樣化，出現(xiàn)數(shù)據(jù)故障的可能性就越大。Pateras說：“這是一個問題，因為你確實想在整個生命周期階段共享數(shù)據(jù)，如果我有關(guān)于晶圓級測試的知識，或者如果我有設(shè)計特征信息，我可能想在現(xiàn)場使用這些信息來了解趨勢。同樣，如果我得到了現(xiàn)場故障信息，如信號隨時間推移的衰減，我希望能夠?qū)⑵渑c我的原始晶圓數(shù)據(jù)進行交叉關(guān)聯(lián)。毫無疑問，他們希望將數(shù)據(jù)向前和向后反饋?！?/span>
這些數(shù)據(jù)涉及的不僅僅是一個芯片或一個在現(xiàn)場使用的系統(tǒng)。它還涉及用于制造這些芯片的設(shè)備，這些設(shè)備也在進行定期的OTA更新。
KLA的戰(zhàn)略合作高級主管Jay Rathert說：“在我們相鄰的空間（設(shè)計和測試）有很多協(xié)同作用，而且隨著越走越遠，它變得越來越難，是什么導(dǎo)致了你的失??？工具在正確的地方嗎？配方是否在做正確的事情？我們的數(shù)據(jù)是否被正確地使用？行業(yè)的下意識反應(yīng)一直是，當有疑問時，關(guān)閉數(shù)據(jù)流并保持一切在內(nèi)部。但想要進入下一階段，你必須開始分享這些數(shù)據(jù)，因為這些數(shù)據(jù)需要通過供應(yīng)鏈傳遞?，F(xiàn)在，供應(yīng)鏈比以前更加緊密，更加一體化，有一些發(fā)生在設(shè)計中的事情，過程檢查將從了解中受益。還有一些發(fā)生在過程中的事情，檢測將從了解中受益，并進一步通過預(yù)燒和SLT，一直到汽車和監(jiān)控數(shù)據(jù)。”
在車載應(yīng)用中，一個芯片的壽命通常是十年或更長時間。對于工業(yè)設(shè)備，可能是25年。設(shè)備方面的另一個挑戰(zhàn)是，芯片可能需要在數(shù)年后復(fù)制，但設(shè)備也必須有足夠的時效性，以便與晶圓廠的其他設(shè)備一起工作。
Advantest的業(yè)務(wù)發(fā)展經(jīng)理Don Blair說：“新的設(shè)計供不應(yīng)求。汽車行業(yè)的不同之處在于它們使用時間要長得多。一部手機的壽命可能只有18個月，然后就會轉(zhuǎn)向完全不同的東西。在汽車行業(yè)，我們的大多數(shù)客戶要求我們保證10年的系統(tǒng)、儀器和我們的系統(tǒng)本身的可用性，包括他們需要使測試單元工作的一切。因此，我們必須始終保證10年的可用性。這是汽車行業(yè)的一個不同之處。他們一直有新的設(shè)計，新的車型采用較新款的芯片，但他們也在使用較舊的芯片生產(chǎn)相同型號的汽車多年?！?/span>
安全更新安全性在芯片生產(chǎn)的每一個方面都起著很大的作用，在現(xiàn)場也是如此。安全漏洞會出現(xiàn)，需要進行安全更新。而且，無論今天的安全性有多好，十年后也不可能被認為是最先進的安全措施。
英飛凌部門總裁Thomas Rostock說：“德國政府兩年前開發(fā)了一個標簽，一開始是自愿的，首先針對的是路由器。其中一個條件是，你要在路由器的生命周期內(nèi)更新安全信息，或者至少在一定時間內(nèi)更新。為了安全起見，這一點是超級必要的?！?/span>
Rostock說，這種方法可能會蔓延到其他領(lǐng)域，因為供應(yīng)商開始把持續(xù)的安全作為一個差異化的因素，并且建立了被認為是可接受的標準。這在汽車和航空航天等領(lǐng)域尤為重要，因為這些領(lǐng)域的安全和安保是緊密交織在一起的。
Riscure的CEO Marc Witteman說：“如今，我們收到了來自政府機構(gòu)的問題，它們擔(dān)心自己的整個汽車保有者。想象一下，你的國家有一個敵人想要攻擊所有的汽車。這將是一場災(zāi)難。商店里的食物會耗盡。任何公共服務(wù)將不再工作。這不僅僅是對消費者的威脅。這是一個系統(tǒng)的威脅。”
其他行業(yè)也在面臨著類似的挑戰(zhàn)。Witteman：“我們有時會看到銀行使用舊的、不安全的算法。原因是可能有一些人沒有通過瀏覽器進行更新，他們想確保這些人仍然可以訪問網(wǎng)上銀行。還有一些黑客聲稱，他們可以用一塊鋁箔包裹OTA天線來入侵汽車。這將使LTE信號降級為2G信號，這是眾所周知的問題。它沒有被車廠禁用的原因是，你可能會在一些沒有LTE覆蓋的城鎮(zhèn)上開車。所以那些不安全的算法仍然存在。即使你有一個技術(shù)先進的心態(tài)，總是想在安全的前沿，但變化有時是緩慢的。有些人沒有最新的技術(shù)，有些車廠希望在美國或其他地方實現(xiàn)100%的網(wǎng)絡(luò)覆蓋。這就是OTA如此有趣的原因?！?/span>
安全是一個持續(xù)的問題，許多更新至少包含一些安全修改，以保持與不斷變化的網(wǎng)絡(luò)威脅同步。
Arm架構(gòu)產(chǎn)品管理總監(jiān)Mark Knight說：“安全很少是一個永久的狀態(tài)。一個在2012年生產(chǎn)的產(chǎn)品，如果不進行維護，在2022年不可能是安全的。而一個在2022年生產(chǎn)并被認為是安全的產(chǎn)品，在2032年可能不安全。安全開發(fā)生命周期的一個重要目標是確定對可預(yù)見的安全威脅的適當反應(yīng)，以便產(chǎn)品在整個預(yù)期的生命周期內(nèi)得到保護。這涉及到對威脅的可能性和潛在影響的理解，從而使產(chǎn)品能夠被定位在風(fēng)險曲線的正確部分。安全風(fēng)險的緩解措施可以采取多種形式，技術(shù)、補償性控制或商業(yè)措施。由經(jīng)驗豐富的第三方或獨立測試實驗室進行滲透測試和評估，是確保產(chǎn)品免受最新攻擊技術(shù)入侵的兩種最佳方法，因此可以增加產(chǎn)品的耐久性?！?/span>

不斷發(fā)展的產(chǎn)品和工藝

減少過時和提高可靠性是一個制勝的市場策略，特別是對于汽車和家電等高價商品。但技術(shù)也是以自身為基礎(chǔ)的，隨著現(xiàn)場終端設(shè)備的數(shù)據(jù)越來越多，它可以被應(yīng)用于新的和現(xiàn)有的設(shè)備。

英飛凌的Rostock說：“公司希望獲得數(shù)據(jù)的原因之一是為了改進他們的產(chǎn)品。但如果產(chǎn)品隨著時間的推移而改進，對用戶也有價值。如果電機算法改進了，就可以升級了。作為消費者，你可以下載一些對你有直接價值的東西?；蛘吣愕臋C器可以和你或另一臺機器進行交互，報告說它有一個問題。”

其他人也表示同意。PDF Solutions的CEO John Kibarian說：“人們希望從芯片上得到數(shù)據(jù)，以便了解它的老化情況。你開始看到IP行業(yè)提供額外的傳感器。你需要測量很多東西。但這與任何大的控制系統(tǒng)沒有什么不同。如果你有一個大的辦公大樓，你會想要測量溫度和濕度以及空氣質(zhì)量。同樣的事情發(fā)生在芯片上，因為一個芯片需要向云端報告，因為它有一個ADAS芯片，而且它老化的很快。這是一個大問題，我們看到傳感器的采用首先是在ADAS等關(guān)鍵任務(wù)的應(yīng)用中?！?/span>

在先進的封裝中，這可能會變得更加復(fù)雜，芯片可能會共享內(nèi)存或I/O或其他資源。Teradyne精密電源和模擬工廠應(yīng)用高級經(jīng)理Chuck Carline說：“在汽車安全領(lǐng)域，我們看到更多這樣的設(shè)計，在一個封裝中包含多個芯片。這當然會對晶圓測試產(chǎn)生影響，因為這些節(jié)點并不都是封裝出來的。它們只是相互連接。一旦你把兩個芯片放在一起，有些功能就無法測試。”

這意味著封裝中的芯片需要被監(jiān)控，至少需要有一種方法將它們連接到任何為保證可靠性而需要的更新。而且它為在整個流程中和進入現(xiàn)場時保持一切同步增加了更多挑戰(zhàn)。

隨著更多的AI被包含在設(shè)備中，它在更新方面增加了另一個層次的復(fù)雜性，因為AI算法會定期更新。這包括從汽車中用于識別道路上的物體的邏輯，到用于確保芯片被完全檢查的設(shè)備。

Bruker董事兼業(yè)務(wù)經(jīng)理Hector Lara說：“我們有多年前建立的前饋算法的IP。所以當我們掃描一個結(jié)構(gòu)時，我們可以真正了解拓撲。如果我們看到任何重復(fù)，我們就開始通過一些AI算法來加快掃描速度，并保持在非常慢的掃描中會有的準確性。如果有可預(yù)測的重復(fù)結(jié)構(gòu)，我們可以進一步加快速度。我們在AI中應(yīng)用了一些，我們關(guān)注的一些東西是更大的區(qū)域，使用AFM和分析器的組合，都是在AFM分辨率下。但是，如果你再做同樣的事情，必須確保不會把尖端撞到一個結(jié)構(gòu)上。我們基本上是導(dǎo)航向一個精確的點?！?/span>

簡單地說，精度很重要。而對于供應(yīng)鏈和從設(shè)計到制造流程中的所有設(shè)備和流程，更新可能會以意想不到的方式影響這種精度。

盡管如此，每個過程、每個芯片，以及在這些芯片內(nèi)部或之上運行的每一級軟件，更新都是必不可少的。但OTA更新也會使芯片的長期可靠性和性能復(fù)雜化，也會使接近或連接到正在更新的其他芯片或系統(tǒng)復(fù)雜化。

在較老的節(jié)點上，當連接性有限，芯片主要是為插槽設(shè)計時，這種情況通常不會被發(fā)現(xiàn)。但隨著電子系統(tǒng)預(yù)期壽命的增加，以及更多與安全或關(guān)鍵任務(wù)有關(guān)的應(yīng)用，要做好這一點變得越來越復(fù)雜，越來越困難。

[參考文章]

Hidden Impacts Of Software Updates — Ed Sperling