1 前言? ?

“網聯化”作為中國自主汽車發展的主要方向，依托于中國發達的基礎網絡建設，以及海量的互聯網內容服務，可為中國汽車用戶帶來優越的聯網體驗。基于此，用戶可在車內輕松在線導航，實時獲取地圖更新，及時規避擁堵路況；可通過語音識別操控車輛，語音系統通過云端獲取更為準確的語義理解，以及更為豐富的互通資源；可通過音響單元收聽在線音樂，且與手機端賬號無縫打通，聽歌習慣無差異遷移；可通過第3方停車服務的接入，輕松找到停車位置以及在線付費。國內用戶通過車聯網的長足發展，享受到了未來智慧汽車的使用體驗。 ?

與傳統移動聯網設備不同的是，汽車作為高速交通工具，一旦發生意外后果不堪設想，因此汽車安全十分重要。而且，汽車作為移動的第3空間，允許用戶在保證安全的前提下，通過手機進行遠程控制，提升使用體驗。同時，汽車內部也有基于以太網或者CAN總線的內部網絡，汽車聯網設備需要考慮到車外網絡與車內網絡的安全隔離與融合。綜上，汽車的聯網鏈路設計是比較復雜的系統設計，對此系統進行解構與分析，有助于提升汽車聯網鏈路的設計水平。??

2 車內主要網絡使用設備

傳統意義上，汽車在物理“道路”上行駛，隨著消費電子通訊行業的飛速發展，汽車開始在“網路”上行駛。車載的主要聯網設備主要包括聯網終端設備（Telematics Box,T-Box）和車載信息娛樂系統（In-Vehicle Infotainment,IVI），圖1為T-Box 3D數據。

2.1 T-Box主要功能

T-Box為車內主要的聯網終端設備，一方面為整車需要聯網的設備提供網絡通路，另一方面又是網絡功能的使用方。T-Box系統主要有如下功能：（1）CAN通訊，收發整車CAN網絡信號； （2）以太網通訊，用于高帶寬通訊需求；
（3）全網通頻段，支持移動、聯通、電信運營商； （4）支持SIM貼片卡，滿足物聯網需求； （5）藍牙，用于藍牙鑰匙功能； （6）GNSS，用于GPS和北斗等衛星導航定位； （7）內置4G天線，用于外部天線損壞時備用； （8）語音呼叫，E-Call和B-Call，支持E-Call自動觸發； （9）收發短信，用于整車的喚醒； （10）網絡授時，用于調整系統時間； （11）音頻輸出，將E-Call和B-Call的聲音發送到IVI系統進行整車播放； （12）麥克輸入，支持通話功能； （13）備用電池，用于車輛嚴重碰撞致KL30斷開時的E-Call自動正常觸發； （14）支持硬件信息安全加密芯片的信息安全方案； （15）整車OTA，用于車端ECU升級包下載，也可作為OTA升級的主控制器，執行各ECU的刷寫服務； （16）遠程車控，通過手機APP對車輛狀況進行查詢，以及遠程下發空調、車窗等交互指令。

2.2 T-Box遠程控制

以T-Box遠程控制這一經典的系統工程案例對T-Box的聯網功能做進一步的闡釋。 ? 遠程控制功能是由車輛使用者在智能終端APP上下發遠程控制車輛的操作指令（如遠程閉鎖車門），該指令會經由用戶端的4G網絡傳輸至遠程控制功能的云端數據平臺（Telematics Service Provider,TSP）；TSP接收該指令信號后，對車輛端聯網狀態進行判斷，繼而通過4G網絡通道下發相應遠程控制指令至車端T-Box；車端T-Box接收該指令后，完成車輛遠程控制前置條件判斷、整車通信網絡喚醒[4]、與車身控制器的防盜鑒權認證后下發閉鎖車門的CAN報文至CAN總線；車端CAN節點網關（Gateway,GW）收到報文后，將其轉發至車身域的車身控制器（Body Control Module,BCM）；BCM在收到該報文后，將執行車門閉鎖的指令下發給執行器；執行器完成對應的動作后，將門鎖狀態反饋給BCM，BCM將動作執行結果通過GW反饋給T-Box，T-Box將該狀態反饋給TSP，TSP將遠程控制執行結果反饋給智能終端APP。同時，車端GW會對遠程控制后的車端CAN通信網絡進行網絡管理，車輛回歸休眠狀態。至此，1次遠程控制操作完成，遠程控制涉及的車端交互流程如圖2所示。 ?



圖2 遠程控制車端流程 ?

如圖3所示，該遠程控制流程多次涉及到車端、智能終端、云端的信息聯動，將傳統的封閉車端功能范疇擴展到云端和智能終端，并高度依賴無線網絡環境。具體涉及到SIM卡資費套餐、接入基站網絡覆蓋、核心網調度、虛擬專線隧道建設、云端服務器負載能力、車-管-端3點間通道信息安全網關。 ?

圖3 遠程控制業務參與節點 ? 由此可見，在智能網聯汽車背景框架下，各網絡節點的條件和能力是實現網聯功能良好落地的極重要影響因素。 ?

2.3 IVI主要功能

從傳統的收音機發展到彩屏收音機（MP5），再發展到具備聯網功能和觸控功能的大屏車聯網終端的車載信息娛樂系統（IVI），已成為整個智能座艙發展的核心，也是智能汽車明確的發展方向。IVI的操作系統多為Linux，其實時性能和響應延遲參數能夠滿足車聯生態的使用場景。圖4為1種典型IVI系統設計。

IVI系統主要功能如下： ?

（1）車輛設置，用于對如車輛駕駛模式、主動安全、以及舒適性配置進行控制； （2）系統設置，用于對IVI自身的的系統進行設置，如聲音、顯示、快捷方式、版本信息等； （3）收音機以及數字廣播； （4）導航，以在線導航為主，離線導航為輔，輔助以實施交通信息顯示，綜合充電、加油、停車等相關服務，為用戶出行帶來更好體驗； （5）在線音頻，包括在線音樂、在線電臺服務； （6）在線視頻，包括在線短視頻、長視頻數字多媒體服務； （7）使用手冊，通過文字、圖片、動圖、視頻或者新手引導的方式教導用戶如何使用車輛； （8）賬戶服務，用于用戶對頭像、ID、流量、付費性服務進行管理，以及包括預約保養、意見反饋與互動； （9）天氣查詢，提供基于位置的未來一段時間的天氣顯示； （10）語音系統，為用戶提供1種新的交互形式，通常可通過語音喚醒或方向盤按鍵激活，提升用戶駕車安全性。 ?

從上述的功能描述已經可以看出，IVI系統已經從以本地功能為主的系統，發展為以聯網功能為主的系統。 ? 隨著智能汽車的快速發展，除了T-Box和IVI系統外，用于智能輔助駕駛的核心控制器智能駕駛控制器也出現了聯網需求，主要包括在線高精度地圖的更新，以及通過V2X(Vehicle-to-everything)技術進行融合感知。 ? 因此，汽車網聯化無疑成為未來智能汽車發展的關鍵，而聯網的穩定性和聯網成功率也已經成為用戶體驗的關鍵因素。 ?

3 車載設備聯網鏈路

智能網聯汽車主要聯網設備為T-Box和IVI，結合T-Box和IVI的網絡依賴功能，結合整車電子電器架構，基本上梳理出整車的聯網鏈路如圖5所示。 ?

T-Box的聯網功能本身涉及到了將整車的狀態信號上傳或者將云端的信號傳輸到整車，因此云-管-車協同才是整個聯網功能的全貌，車內電子電器架構也有部分出現在了聯網鏈路分析圖中。 ?

從圖5中可以看出，T-Box的聯網鏈路比較復雜，涉及到自身內部、車端以及運營商端、TSP端多個系統。因此，一旦發生了某聯網功能異常，排查起來十分困難。本文嘗試將鏈路圖中的關鍵節點進行闡述，說明車端設備聯網的原理，從而對于建立穩定的聯網能力和排查異常問題有所幫助。整車聯網鏈路包括眾多節點，本章節按照圖5標識序號，對其中關鍵節點進行說明。

?

圖5 整車網絡鏈路分析

3.1 T-Box與整車網絡通信

通過此節點，T-Box可以將整車重要報文（國標以及地標或者企標需求的報文）以要求的頻率和協議形式，傳輸到車廠TSP平臺，而后車廠TSP平臺將相關信號流轉到國家新能源汽車監控平臺、地方新能源汽車監控平臺或企業數據倉庫，因而對車輛進行管理或者大數據挖掘。同時，T-Box將來自后臺的信息推送到整車（如：遠程喚醒的命令、遠程控制的命令）。部分車廠將整車OTA和遠程診斷的主程序，集成于T-Box系統中，依賴于T-Box和整車網絡以及后臺的通信，實現OTA和遠程診斷功能。

3.2 SIM卡制備

通常前裝T-Box采用為SIM貼片卡。對于SIM貼片卡，是直接將卡嵌入到設備芯片上，而不是作為獨立的可移除零部件加入設備中。以保證前裝的機械、環境、電子和電磁要求。傳統消費級SIM插拔卡和SIM貼片卡形式對比如圖6所示。

近年來，運營商推出1種基于物聯網卡業務的新應用—嵌入式SIM卡（Embedded-SIM,eSIM）。在研發階段，模組不需要貼片提前灌裝好profile文件的SIM貼片卡，而是內置虛擬卡號，后期將物聯網卡號碼通過遠程空中燒號的方式寫入eSIM卡，即可實現卡號的實時分配。雖然目前eSIM開始有所普及，但是仍不是主流的形式。 ?

SIM作為網絡連接的核心部件，內部存儲著重要信息，包括：即集成電路卡識別碼（Integrate circuit card identity,ICCID），也就是SIM卡號。ICCID為IC卡的唯一識別號碼，共有20位字符組成，其編碼格式為：XXXXXX 0MFSS YYGXX XXXX。前6位為運營商代碼，其中，中國移動為：898600、898602、898604、898607，中國聯通為：898601、898606、898609，中國電信為：898603、898611。國際移動用戶識別號碼（In?ternational Mobile Subscriber Identity,IMSl）是用戶的唯一識別標識，也就是手機號碼，它使用網絡來識別用戶歸屬于哪一個國家、哪一個電信經營部門、哪一個移動業務服務區。其余還包括用戶密鑰和保密算法，PIN碼以及存儲空間等。 ?

一般主機廠會指定單獨的制卡商和運營商。主機廠和運營商針對套餐、流量、APN、電話白名單等信息進行確認后，輸出制卡要求到制卡商，由制卡商進行制備后，發送到T-Box供應商進行貼片生產。 ? SIM貼片卡的使用可向eSIM方向演進。通過連接網絡載入卡數據包profile至內置芯片，eSIM比起傳統SIM卡更便利、更低成本、更安全。 ?

3.3 信息安全加密芯片的灌裝

在通信網絡安全的研究中，數據信息安全是非常關鍵的內容，科學方法保證數據信息安全，提高了通信網絡的安全性，突出了互聯網系統的安全保障作用。為了保證安全，針對車端與后臺的相互通信，主機廠一般都會增加信息安全的要求，包括安全性較低的軟件加密和安全性較高的硬件加密手段。V2X技術的發展也引發了許多安全和隱私問題，為了解決這些問題，大量面向V2X通信的認證協議被提出，其中也包括增加符合V2X通信特性的硬件安全方案。其中硬件加密手段，需要在T-Box本地端布置1顆專用硬件安全模塊（Hardware Security Module,HSM）。

在主機廠確定整體的信息安全方案后，將原版的信息安全證書下發到信息安全加密芯片供應商對空白芯片進行灌裝，然后出貨到T-Box供應商進行貼片生產，供后續信息安全系統進行調用。

3.4 信息安全SDK對信息安全加密芯片的調用

信息安全軟件開發包（Software Development Kit,SDK）對信息安全加密芯片的調用，主要包括以下接口：

（1）安全芯片功能接口的注冊；

（2）枚舉設備獲取系統中芯片列表；

（3）與芯片進行連接/斷開；

（4）獲取芯片的信息（標簽、廠商和支持算法）；

（5）芯片鎖定/解鎖獨占使用權；

（6）校驗PIN；

（7）導入導出數字證書；

（8）生成隨機數；

（9）生成RSA公私鑰；

（10）RSA簽名/驗簽[13]；

（11）鑒權碼運算。

3.5 T-Box應用開發對信息安全SDK的調用

有了信息安全加密芯片和信息安全SDK，則TBox信息安全開發有了硬件基礎和軟件基礎。T-Box供應商進行信息安全應用開發時，根據信息安全方案商的系統要求結合T-Box具體業務場景，對信息安全SDK通過接口進行調用[12]，主要的接口如下：

（1）獲取信息安全SDK版本信息；

（2）判斷安全芯片是否存在安全證書；

（3）安全證書申請；

（4）安全通道創建和關閉；

（5）日志打??；

（6）獲取安全通道接口狀態。

圖7可以看出T-Box在登陸TSP平臺的場景中，信息安全SDK起到的核心作用。

?

圖7 T-BOX登陸TSP平臺信息安全接入入網流程 ? 由于在IVI系統中部分業務也需要與TSP進行加密通訊（如：車機端二維碼的展示），IVI端的信息安全SDK對T-Box內的安全芯片的調用以及IVI安卓應用開發對信息安全SDK的調用，與T-Box近乎一致。 ?

3.6 通訊模組的配置

為了保證T-Box可根據前期與運營商達成一致的方案方式進行聯網，通知滿足信息安全的要求，TBox應用開發中需要保證通訊模組的正確配置，主要包括如下內容：

（1）TSP平臺域名； （2）單個或者多個APN信息； （3）數據上傳的地址、端口； （4）E-Call呼入和呼出的號碼； （5）B-Call呼出的號碼。 ? 汽車屬于高安全性要求產品，但目前車聯網接入的網絡與手機、電腦等消費級產品接入的網絡一致，無法保證網絡實時的穩定性。為了保證車輛聯網的穩定性，需要車輛在本地端做大量的冗余邏輯，針對網絡異常的情況進行處理，包括重新撥號、重新開關飛行、甚至對T-Box進行模組重啟的動作，以恢復自身網絡連接。 ?

3.7 近場藍牙通訊

藍牙鑰匙功能即用戶可使用手機替代智能鑰匙的功能。此種場景下，手機APP與T-Box通過藍牙進行通訊，用戶在手機端進行APP登錄后，通過藍牙與T-Box發起鑒權。鑒權通過后，APP通過藍牙發出命令，T-Box通過藍牙進行狀態反饋。在藍牙斷開超時后，整車重新進入休眠狀態。

3.8 車輛遠程控制與狀態查詢

由于T-Box已經按照企標的數據上傳要求，將需求的整車報文傳輸到后臺，用戶通過手機APP認證登錄后，通過狀態查詢即可以看到車輛最新上傳的相關狀態。同時，用戶登錄APP后與T-Box通過4G建立安全通道，建立成功后通過振鈴或者短信將遠程控制開始的請求發送到T-Box。T-Box對整車網絡進行喚醒，并對遠程控制前提條件進行判斷。如判斷可行，T-Box將遠程控制指令下發整車網絡，并將執行狀態返回。

3.9 公私網通路

根據具體的車聯網業務，云端資源被部署在公司自有的云端平臺或者第3方云端平臺。像天氣、導航和音頻等資源均部署在墨跡天氣、高德地圖和qq音樂等第3方的云平臺中，因此T-Box與此部分資源的連接通路為公網。與企業后臺通訊的業務中，根據重要程度，可以選擇通過公網進行通訊或者私網進行通訊。無論通過私網還是公網與企業后臺通訊，出于信息安全的考慮，都必須通過安全網關的認證。一般來說，公網通路取名APN2，私網通路取名APN1。

結合圖3可以看出，整車聯網的過程中涉及到很多系統的相互協作，僅列舉其中幾個關鍵點進行闡述，未展開節點并非不重要，任何1個節點出錯都會導致整個系統的失效。

4 失效模式分析

整個聯網鏈路十分復雜，重點針對下面4個方面進行闡述。

（1）信息安全加密芯片如涉及到多端調用，必須完善優先級設定，否則容易發生系統沖突。信息安全芯片分別可通過T-Box端的信息安全SDK和IVI端的信息安全SDK觸發。類似此種的多端調用問題，必須明確各端的優先級問題，否則很有可能會出現多端同時調用造成的沖突，導致某1端連接TSP平臺的失敗。例如，T-BOX和IVI在創建安全通道網絡連接時，需要由APP請求各自信息安全的安全接入SDK，進入創建安全通道線程。各自SDK會調用集成在T-BOX上的安全芯片模塊接口，如查詢安全證書狀態find_cert_insafecard()函數可通過pthread_mutex_init函數為調用對象加鎖，以防調用沖突導致的程序異常。

（2）要注意各個場景下安全證書的有效性，避免因此導致信息安全系統加載失敗。有些信息安全方案中，要求安全證書有效的前提，必須具有正確的系統時間。而大部分車廠總裝線均為鋼筋棚頂結構，對4G信號以及GPS信號的傳播有很強的阻斷作用，導致無論通過網絡授時或者GPS授時都無法獲取正確的時間，導致證書無法在EOL環節生效，導致診斷報錯。因此，除了聯系運營商增加室分基站外，還需合理的制定證書失效與否判定的超時邏輯。

除此之外，可增加T-BOX的授時途徑，在GPS授時基礎上增加NTP、總線網絡授時機制。此外，在業務層增加異常時間的判斷邏輯，當識別到為授時失敗的初始時間（多為UNIX系統的起始時間1970年1月1日），則記錄授時故障DTC，以通知下線檢測設備（End-Of-Letter,EOL），非TSP連接或證書失效問題所致。

（3）應該注意T-Box啟動時間過長問題，合理設計邏輯避免電檢或者上傳數據出錯。一般了解到T-Box冷啟動時間在1 min左右，這個問題有2個主要表象：在T-Box裝配環節中，初次上電，從倉儲模式中啟動，導致在EOL電檢前未啟動完成，導致電檢失敗。使T-Box網絡恢復的最后1個方法為重啟T-Box，此時如車輛處于行進中，重啟花費的時間會導致車輛的速度、位置甚至里程產生比較多的變化，而這個過程中T-Box完全無法工作，無法采集總線數據導致上報國家和地標、企標的數據產生跳變。

為解決該問題，一方面要合理的設計T-Box上電到EOL電檢的時間，保證T-Box充分啟動；另一方面，采用重啟恢復網絡這個方法時，最好增加車速、電源模式等前置條件，以降低對國標數據的影響。

（4）斷網現象多種多樣，不易排查，對T-Box工程師有比較高的要求。由于有太多的業務都涉及聯網，針對單一的每個聯網業務，又有多個環節的參與，發生斷網狀況時很難快速判斷哪個環節出了問題。比如天氣無法查詢，可能的原因就有天氣服務本身出現問題，IVI與T-Box的USB通訊出現問題，T-Box供網能力出現問題，SIM卡被限制，或者運營商后臺出現短暫無法聯網等。當涉及到5G通信制式的漫游業務時，問題將更加難以定位分析。因此，作為T-Box工程師或者聯網業務的主要參與者，需要對整個聯網鏈路深入理解，包括4G/5G核心網境內網/異網漫游的主要業務場景進行分析，并可配合在工程模式中開發部分診斷工具，用于分析問題產生的具體原因。

5 結論?

智能汽車的發展，對汽車網聯化屬性提出了更高的要求。保障汽車聯網的可靠性，才能保證用戶基本的用車體驗。本文對車內主要的聯網終端設備IVI和T-Box進行了介紹，并從本地到云端，對車輛的整個聯網鏈路進行描述，針對T-Box與整車網絡通信、信息安全芯片與SDK集成、車輛遠程控制與狀態查詢、車輛近場藍牙通訊等重要環節進行了重點描述。信息安全雖表面看起來與網絡相干性不強，實則為車輛與TSP通信的唯一入口，是保證車輛數據上傳與遠程查詢控制的關鍵，各車廠必須予以高度重視。同時，安全證書有效性、信息安全SDK調用優先級、T-Box啟動時間等問題，亦需通過合理的設計，才能保證T-Box工作穩定性。 ?

當前階段的智能汽車已通過T-Box將車輛部分信號，以比較低的頻率上傳至TSP。隨著5G基礎網絡建設的推進，以及5G T-Box在車端的普及，TBox可以把全量的信號以與信號周期一致的頻率發送至TSP，實現云端車輛數據的最大化，同時有效降低車輛狀態查詢和控制的時延，極大的提升用戶體驗。

審核編輯：劉清