十年前买一辆车，提车那天的功能就是这辆车余生的全部功能。今天买一辆智能汽车，半年后可能收到一个 OTA 推送，多出了一种泊车模式，或者辅助驾驶在高速上变得更从容了。这种「越开越聪明」的体验背后，是汽车行业正在经历的一场底层架构变革——从「硬件定义」走向「软件定义」。关于智能汽车的交互设计理念，这篇车企集体找回实体按键从另一个角度做了讨论。
从分布式 ECU 到集中式架构
传统汽车的电子电气架构是分布式的：车上装着几十甚至上百个独立的 ECU（Electronic Control Unit，电子控制单元），每个 ECU 是一颗嵌入式小芯片加上一段固化程序，管一件具体的事——发动机控制、车窗升降、空调调节。这些 ECU 之间通过 CAN 总线（一种车载通信协议）交换信号，彼此协作但各自独立。
这种架构在功能简单的时代运行良好，但到了智能驾驶和智能座舱时代，问题出来了：跨域协同需求大增（比如智驾需要同时调用转向、制动、传感器多个子系统），分散的 ECU 之间通信带宽不够、协同延迟大、整体升级困难。
于是行业开始向集中式电子电气架构演进：用几颗高性能计算平台（域控制器或中央计算平台）取代大量分散的 ECU，把功能以软件形式运行在统一的硬件上。这样做的好处是算力可以集中调配、软件可以统一更新、跨域协同更高效。不同车企的架构演进节奏和路线有所不同，有的采用「域集中」（智驾域、座舱域、车身域各一颗大芯片），有的走得更远做「中央计算」（一颗超大规模 SoC 统管全车）。
OTA 升级原理
OTA（Over-The-Air，空中下载）是让汽车像手机一样远程升级软件的技术。它的基本流程是：车企在云端准备好新版本的软件包，车辆通过蜂窝网络下载，然后在本地安装并重启相关系统。
工程实现上有几个关键机制：
差分包：每次升级不需要下载完整的软件镜像，而是只下载和上一版本之间的差异部分。这能把下载量从几个 GB 压缩到几百 MB 甚至更少，降低对网络带宽的要求。
双分区（A/B 分区）回滚：车辆的存储被分成两个分区，一个运行当前系统，一个用来安装新版本。如果新版本启动后检测到严重异常，系统可以自动回滚到旧分区，保证车辆不会「变砖」。这种机制在智能手机上已广泛使用，移植到车上后同样成为安全保障的关键一环。
一次 OTA 可能只涉及座舱娱乐系统的界面更新，也可能涉及智驾算法的模型升级。涉及到底层控制域的 OTA 要更加谨慎，通常有更严格的验证和灰度发布流程。
特斯拉是较早把 OTA 用到极致的厂商，其通过持续的数据收集与软件迭代形成了一套闭环能力，详见这篇Model 3 数据飞轮拆解。
软件定义汽车的两面
「软件定义汽车」这个概念的核心含义是：汽车的功能差异和体验升级，越来越多地由软件而非硬件决定。同一套硬件平台，通过不同的软件配置和 OTA 更新，可以呈现不同的功能组合。
这对消费者来说是好消息：买车后功能可以持续增加和优化，不用换车就能获得新体验。部分车企已经实现了「买车后长出新功能」——比如新增的自动泊车场景、优化的高速领航策略、甚至新的座舱交互模式。
但工程上也有挑战。软件复杂度急剧增加，一个整车软件栈的代码量可达上亿行，测试和验证的工作量远超传统汽车。OTA 升级失败的案例虽然比例不高，但一旦发生可能导致座舱死机、某些功能暂时不可用等问题。车企需要在推送前做充分的灰度测试，并提供可靠的回滚机制。
安全底线：哪些部分永远不允许「远程随便改」
有一个问题很多人会想到：如果 OTA 能改刹车和转向的参数，那不是很危险？
事实上，法规层面和工程层面都对此有严格的约束。涉及行车安全的关键系统（制动、转向、动力总成控制）属于 ASIL-D 级别（汽车安全完整性等级最高档），其软件变更需要满足极为严格的验证流程和功能安全标准。多数车企的做法是：安全关键域的底层控制参数不通过常规 OTA 修改，即便涉及安全域的软件更新，也会经过比座舱 OTA 严格得多的测试、审批和灰度流程。
此外，部分国家和地区的汽车安全法规明确要求：涉及安全的软件变更须符合型式认证或召回管理规定，不能随意远程推送。这意味着「远程改刹车」在法规上是被严格管控的，而非车企想推就推。
小结
软件定义汽车的本质是汽车电子架构从分散走向集中，让软件成为功能交付和升级的主要载体。OTA 是这种架构带给消费者的直接红利：功能可以常用常新。但安全底线没有被放松——制动、转向等关键系统的变更依然受到严格的法规和工程约束。理解这些机制，你就能更从容地面对每一次 OTA 推送。
Q: OTA 升级会不会让车变慢或变危险？
正规车企的 OTA 推送前会经过台架测试、路试验证和灰度发布（先推给少量用户观察）。双分区回滚机制保障了升级异常时可以退回旧版本。理论上，软件更新可能改变系统的资源分配或策略逻辑，但涉及安全的参数修改受法规和工程规范严格约束。如果你遇到升级后明显异常，可以联系车企售后或通过车机反馈渠道报告。
Q: 买车后功能还能「长出来」吗？
在软件定义架构下，这是可以实现的。车企可以通过 OTA 推送新的功能模块，比如新增一种泊车模式、开放某个路段的领航辅助、增加座舱应用。但前提是车辆的硬件平台具备运行这些功能的算力和外设支持——软件不能突破硬件的物理上限。部分车企也采用「硬件预埋、软件后续解锁」的策略，购车时某些功能的硬件已经装好，但需要等待软件成熟后通过 OTA 开放。
Q: 升级失败了车还能开吗？
绝大多数情况下能。双分区机制保障了回滚能力：新版本启动异常时，系统会自动切回旧分区。即使座舱系统升级失败导致娱乐功能暂时不可用，行车相关的基础功能（仪表显示、基础驾驶控制）通常运行在独立的计算平台上，不受座舱系统影响。不过，遇到升级失败的情况还是建议尽快联系售后处理，不要长期在异常状态下用车。
💬 评论