編前：來自國家市場監(jiān)督管理總局的數(shù)據(jù)顯示，截至2021年年底，國內(nèi)已累計實施汽車產(chǎn)品召回2423次，涉及缺陷產(chǎn)品9130萬輛。近5年來，汽車安全召回平均每1.6天發(fā)生一次，汽車企業(yè)主動發(fā)現(xiàn)問題，主動召回已成為常態(tài)。而就2021年召回數(shù)量前十的汽車品牌/車企所涉及召回車型看，伴隨著汽車產(chǎn)品的電動化、智能化、網(wǎng)聯(lián)化發(fā)展，其原因從傳統(tǒng)的硬件故障延展到了系統(tǒng)程序和軟件設(shè)計問題，呈現(xiàn)出多元化趨勢。

消費者對汽車產(chǎn)品的維權(quán)事件，為行業(yè)發(fā)展敲響警鐘。不過，應(yīng)該怎么理解這種警示作用呢？僅僅是對品牌聲譽和市場份額的維護(hù)？答案不會這么淺顯。本刊“3·15”國際消費者權(quán)益日特別策劃報道，正是要從深層次去挖掘這種對行業(yè)的警示意義。

從被動安全到主動安全，再到信息安全與功能安全，汽車安全體系經(jīng)歷了一場技術(shù)革命。在汽車“新四化”趨勢下，無論監(jiān)管部門、行業(yè)組織還是企業(yè)自身，都應(yīng)好好思考如何應(yīng)對“軟件定義汽車”時代的新考驗。

“3·15”國際消費者權(quán)益日臨近，業(yè)內(nèi)外對于汽車及零部件產(chǎn)品質(zhì)量安全的關(guān)注再度升溫。一個值得關(guān)注的現(xiàn)象是，在電動化、智能化、網(wǎng)聯(lián)化高速發(fā)展的今天，汽車產(chǎn)品的潛在隱患，除了傳統(tǒng)的機(jī)械系統(tǒng)、電子電氣零部件等常見問題外，又出現(xiàn)了來自新維度的挑戰(zhàn)。

無論智能座艙，還是自動駕駛，越來越多的軟件出現(xiàn)在汽車上，而由此引發(fā)的種種質(zhì)量安全問題，帶來一種新挑戰(zhàn)：消費者界定舉證難、生產(chǎn)企業(yè)分析成因難、政府部門監(jiān)管更難。

因軟件引發(fā)的質(zhì)量安全問題頻發(fā)

3月4日，北京奔馳汽車有限公司召回部分國產(chǎn)C級汽車，召回數(shù)量為25773輛；同日，梅賽德斯-奔馳（中國）汽車銷售有限公司召回部分進(jìn)口S級轎車，召回數(shù)量為5034輛。召回的原因均為通信模塊控制單元的軟件問題，召回維修措施包括汽車遠(yuǎn)程升級（OTA）或到服務(wù)中心進(jìn)行升級。

2月18日，特斯拉（上海）有限公司根據(jù)《缺陷汽車產(chǎn)品召回管理條例》和《缺陷汽車產(chǎn)品召回管理條例實施辦法》的要求，向國家市場監(jiān)督管理總局備案了召回計劃。自即日起，召回2020年12月28日至2022年1月15日期間生產(chǎn)的部分國產(chǎn)Model 3（12003輛）和Model Y（14044輛）電動汽車，共計26047輛。召回原因是其中部分車輛“因軟件（2021.44至2021.44.30.6版本）沒有糾正功能，長期可能造成閥門部分開啟，熱泵壓縮機(jī)停止工作，車內(nèi)制熱功能失效”。召回維修措施同樣是汽車遠(yuǎn)程升級（OTA）技術(shù)與到服務(wù)中心為車輛進(jìn)行升級并行。據(jù)悉，在電子電氣架構(gòu)演進(jìn)中表現(xiàn)激進(jìn)的特斯拉，在詮釋“軟件定義汽車”的同時，近年來卻頻繁曝出車機(jī)系統(tǒng)在車輛行駛中出現(xiàn)故障（無反應(yīng)或白屏）的新聞。

3月8日，美國國家高速公路交通安全管理局（NHTSA）宣布，自動駕駛技術(shù)初創(chuàng)公司小馬智行已同意召回其自動駕駛系統(tǒng)軟件的部分版本。

平心而論，無論造車新勢力還是傳統(tǒng)車企，抑或聚焦自動駕駛的科技公司，都難免會遇到諸如智能座艙HMI（人機(jī)交互）、自動駕駛軟件、算法及地圖等方面的一系列問題。

而軟件原因給汽車消費者帶來的困擾還不僅于此。比較典型的一家造車新勢力企業(yè)，被多名消費者投訴車輛在門店保養(yǎng)升級后，續(xù)駛里程嚴(yán)重縮水。今年年初，更是有173名車主聯(lián)名發(fā)出律師函為此聲明主張、維護(hù)權(quán)益。有分析認(rèn)為，該企業(yè)的4S店通過升級改寫電池管理系統(tǒng)（BMS），鎖定了電池電量系統(tǒng)級芯片（SOC），從而重新定義了動力電池的電壓范圍，以限制其充電量和用電量。據(jù)了解，這種通過改寫B(tài)MS對車輛參數(shù)“動手腳”的情況并不罕見，特斯拉、上汽榮威、廣汽豐田等品牌的部分車型都曾被消費者投訴或曝光過類似問題。

“目前，我們可以粗略地將汽車軟件問題大致分為車輛控制問題、車身控制問題、數(shù)據(jù)通信問題和數(shù)據(jù)泄露問題等幾個大類。”中科院創(chuàng)業(yè)投資管理有限公司研究總監(jiān)邵元駿告訴《中國汽車報》記者，“智能網(wǎng)聯(lián)汽車尚處于發(fā)展初期，行業(yè)還在探索電子電氣架構(gòu)的演進(jìn)階段，與之相關(guān)的軟件開發(fā)必然存在應(yīng)用時間短，且不完善的問題，恐難以避免存在一些尚未發(fā)現(xiàn)的系統(tǒng)性漏洞。同時，汽車越來越多地接入物聯(lián)網(wǎng)，與外界的信息交互功能加強(qiáng)，也存在被不法分子惡意攻擊的可能性。”

汽車“軟”肋何以逐漸形成？

“我們應(yīng)當(dāng)全面分析軟件層面出現(xiàn)問題的背景。汽車‘新四化’時代，新技術(shù)、新產(chǎn)品和新商用模式層出不窮，遠(yuǎn)遠(yuǎn)超出了一般傳統(tǒng)整車或零部件企業(yè)正常的發(fā)展速度。從最基礎(chǔ)的‘人’的因素講起，汽車行業(yè)當(dāng)下比較缺乏應(yīng)用層面的軟件人才。”智能網(wǎng)聯(lián)汽車領(lǐng)域研究者熊淇分析道，“現(xiàn)在只有少數(shù)企業(yè)意識到了這個問題，開始重視擴(kuò)大自己的軟件團(tuán)隊。姑且不論有能力培育大規(guī)模團(tuán)隊的企業(yè)鳳毛麟角，即便有了這樣的人才隊伍，汽車軟件的特殊性與汽車企業(yè)對盈利的追求也會形成矛盾。汽車對于軟件的要求，比以手機(jī)軟件為代表的消費電子領(lǐng)域更嚴(yán)格，這也決定了汽車軟件很難像消費電子軟件一樣低成本迭代。由于整車企業(yè)面臨成本和交付等方面的壓力，很難寄希望于軟件團(tuán)隊把所有問題全部搞清楚才裝車交付。”

邵元駿告訴記者：“整車及零部件企業(yè)底層軟件開發(fā)安全保障經(jīng)驗不足，架構(gòu)質(zhì)量安全體系的前沿技術(shù)和方法也明顯欠缺。從車企角度來看，一方面可以成立獨立的軟件部門，雇用專業(yè)人才加強(qiáng)研發(fā)，另一方面也可以選擇與IT企業(yè)進(jìn)行深度合作，聯(lián)合開發(fā)軟件技術(shù)和產(chǎn)品。目前，行業(yè)及政府相關(guān)部門也正積極行動，在加快智能網(wǎng)聯(lián)汽車軟件標(biāo)準(zhǔn)體系建設(shè)的同時，不斷完善質(zhì)量安全管理體系和應(yīng)急處理機(jī)制，強(qiáng)化軟件缺陷的調(diào)查力度，倒逼企業(yè)主動提升技術(shù)和管理水平，強(qiáng)化對軟件供應(yīng)商的質(zhì)量把控。”

上海艾拉比智能科技有限公司總裁芮亞楠認(rèn)為，車企和零部件供應(yīng)商是傳統(tǒng)汽車軟件開發(fā)的行家，在制定標(biāo)準(zhǔn)規(guī)范和實現(xiàn)量產(chǎn)應(yīng)用上有很好的“基本功”。但目前，消費者對于智能網(wǎng)聯(lián)汽車新功能的期待，以及車企為用戶不斷創(chuàng)造的差異化體驗，遠(yuǎn)遠(yuǎn)超出了傳統(tǒng)汽車功能范疇，再加上新車型、新功能的開發(fā)周期不斷壓縮，這些因素進(jìn)一步加大了汽車軟件出現(xiàn)缺陷和問題的幾率。

“對于國內(nèi)汽車行業(yè)而言，積累是一個漫長而必要的過程。雖然特斯拉的產(chǎn)品出現(xiàn)了不少問題，但其本身的軟件能力處在業(yè)界領(lǐng)先水平。國內(nèi)軟件開發(fā)的整體實力與世界先進(jìn)水平有一定差距，需要不斷提升。”熊淇認(rèn)為，模仿特斯拉的全棧自研模式不易，外包是較為經(jīng)濟(jì)和現(xiàn)實的選擇。但這種模式也帶來一定的風(fēng)險，軟件分包團(tuán)隊的交付質(zhì)量難以被衡量和界定。汽車行業(yè)較為成熟的零部件開發(fā)體系中，有較為完善的測試、認(rèn)證機(jī)制，而類似的環(huán)節(jié)在汽車軟件領(lǐng)域還處于起步階段。他介紹說：“主流車企一般遵循ISO 26262指導(dǎo)軟件開發(fā)，其中第六部分‘軟件級產(chǎn)品開發(fā)’就是專門面向車用軟件的。不過，這并非強(qiáng)制性標(biāo)準(zhǔn)。”

企業(yè)承擔(dān)起軟件服務(wù)商新角色

實事求是地說，由于產(chǎn)業(yè)發(fā)展日新月異，新車型很難在出廠時達(dá)到軟件“完結(jié)”的狀態(tài)，需要整車企業(yè)不斷根據(jù)新情況、新問題進(jìn)行更新升級。由此帶來兩個結(jié)果，一是車企改變了原有的汽車交付及盈利模式，使產(chǎn)品全生命周期付費變成可能；二是OTA技術(shù)成為支撐這一改變的重要手段和途徑。

在熊淇看來，整車企業(yè)的發(fā)展范式在當(dāng)下發(fā)生著變化。原來是產(chǎn)品交付實現(xiàn)銷售，整車企業(yè)便基本完成了自己的工作。但在智能化、網(wǎng)聯(lián)化趨勢下，產(chǎn)品在完成生產(chǎn)、實現(xiàn)銷售后，整車企業(yè)又扮演了軟件‘服務(wù)商’的角色。“在汽車產(chǎn)品的全生命周期中，軟件不斷迭代，于是整車企業(yè)提出了基于軟件升級的服務(wù)模式，與‘訂閱’概念非常類似。這種模式從商業(yè)上能夠走通，從智能網(wǎng)聯(lián)汽車安全需求的角度看，也是發(fā)展的必然。”他對記者說道，“OTA能夠提供軟件層面、固件系統(tǒng)的更新，這給人們帶來思考——汽車業(yè)可能已脫離單純的‘工業(yè)’屬性，開始結(jié)合相當(dāng)程度的‘服務(wù)業(yè)’特性。”

芮亞楠說：“從技術(shù)角度講，OTA這種基于無線網(wǎng)絡(luò)通信的遠(yuǎn)程升級方式，是智能網(wǎng)聯(lián)汽車軟件升級迭代更為可靠和適用的方案。過去10多年，OTA技術(shù)僅局限于影音娛樂系統(tǒng)升級；現(xiàn)在，OTA已可對傳動、轉(zhuǎn)向、車身控制等所有ECU進(jìn)行升級。”據(jù)悉，他所在的艾拉比擁有為整車企業(yè)提供OTA服務(wù)的豐富經(jīng)驗。

芮亞楠向記者介紹，OTA整個閉環(huán)過程分為三個步驟：應(yīng)用場景映射、軟件版本管控、OTA分發(fā)升級。具體而言，應(yīng)用場景映射指通過人工設(shè)計或數(shù)據(jù)采集，將汽車軟件功能進(jìn)行分解定義和設(shè)計，形成各個軟件升級包。軟件版本管控指將所有汽車軟件升級包進(jìn)行合理的基線對齊和管理管控。OTA分發(fā)升級指通過OTA將軟件合理、高效地進(jìn)行發(fā)布并完成升級。對于新軟件帶來的新問題，也是通過這個閉環(huán)進(jìn)行持續(xù)不斷的改進(jìn)提升。“針對這三個階段，我們分別提供‘OTA數(shù)據(jù)采集應(yīng)用’、‘VSS汽車軟件管理系統(tǒng)’和‘OTA遠(yuǎn)程升級服務(wù)’三個產(chǎn)品來保證整個業(yè)務(wù)閉環(huán)的完整性和可靠性。”他稱。

邵元駿告訴記者，智能網(wǎng)聯(lián)汽車一般是向集中式的域控制器甚至中央計算平臺的電子電氣架構(gòu)演進(jìn)，使軟硬件在零部件層面解耦，軟件實現(xiàn)系統(tǒng)性、全棧性的控制權(quán)限。車載自動診斷系統(tǒng)及時發(fā)現(xiàn)軟件問題，通過OTA功能，經(jīng)由GSM/CDMA/LTE等無線通信方式遠(yuǎn)程升級軟件或固件系統(tǒng)，修復(fù)軟件故障。傳統(tǒng)車企的產(chǎn)品還能夠通過4S店等線下途徑升級維護(hù)。

“汽車軟件進(jìn)行OTA時，同時要保證軟件自身安全和OTA通道安全。”芮亞楠指出，“汽車軟件安全是一個持續(xù)性的迭代過程，而OTA通道安全是一個階段性過程，根據(jù)當(dāng)下階段的技術(shù)能力和信息安全威脅特性進(jìn)行系統(tǒng)設(shè)計，保證該階段內(nèi)所有使用OTA通道的汽車軟件升級動作安全可靠。當(dāng)然，這需要法規(guī)、標(biāo)準(zhǔn)等方面的協(xié)同支持。”

“2021年，《工業(yè)和信息化部關(guān)于加強(qiáng)智能網(wǎng)聯(lián)汽車生產(chǎn)企業(yè)及產(chǎn)品準(zhǔn)入管理的意見》出臺具有重要意義，備案等相關(guān)制度的完善，規(guī)范了整車企業(yè)的OTA行為，保護(hù)了消費者的知情權(quán)，有利于行業(yè)長遠(yuǎn)發(fā)展。政策法規(guī)體系仍在完善中，未來肯定可以更好地保護(hù)消費者權(quán)益。”熊淇認(rèn)為。

啟動沙盒監(jiān)管　建設(shè)人才團(tuán)隊

汽車軟件問題會影響消費體驗甚至帶來質(zhì)量安全隱患，而軟件迭代升級時所采用的OTA技術(shù)也需嚴(yán)把安全關(guān)。這一系列新情況給政府部門的監(jiān)管帶來了極大的挑戰(zhàn)。

今年年初，市場監(jiān)管總局質(zhì)量發(fā)展局副局長王赟松曾表示，將逐步啟動沙盒監(jiān)管制度試點，探索推進(jìn)沙盒監(jiān)管制度。“引入沙盒監(jiān)管，主要是針對車輛應(yīng)用的前沿技術(shù)進(jìn)行深度安全測試，目的在于引導(dǎo)企業(yè)更深層次地查找問題、改進(jìn)設(shè)計、降低風(fēng)險。作為傳統(tǒng)監(jiān)管方式的補(bǔ)充，沙盒監(jiān)管既有利于企業(yè)技術(shù)創(chuàng)新的實踐應(yīng)用，又有助于更早地發(fā)現(xiàn)前沿技術(shù)引發(fā)的安全問題。”王赟松指出，“啟動沙盒監(jiān)管制度試點，可提升召回監(jiān)管效能，督促企業(yè)不斷創(chuàng)新，提升產(chǎn)品設(shè)計、制造水平，降低產(chǎn)品安全風(fēng)險。”

“沙盒監(jiān)管最早由英國政府提出，是主要應(yīng)用在金融領(lǐng)域的一種監(jiān)管手段。”工信部賽迪研究院政法所研究室主任張浩向記者解釋了這一對行業(yè)略顯陌生的概念，“結(jié)合國內(nèi)外的一些應(yīng)用和試點經(jīng)驗，我們建議，提升沙盒監(jiān)管的效果可以從兩方面入手。一是加強(qiáng)監(jiān)管機(jī)構(gòu)與行政相對人的溝通和交流。沙盒監(jiān)管實際上是一種微縮式的穿透監(jiān)管方法，目的是通過試點充分了解和掌握汽車相關(guān)前沿技術(shù)情況，積累監(jiān)管經(jīng)驗。在這個過程中，通過監(jiān)管機(jī)構(gòu)與行政相對人的深度交流，可以快速提高監(jiān)管機(jī)構(gòu)對技術(shù)和產(chǎn)品的認(rèn)知，也能夠幫助企業(yè)充分理解監(jiān)管思路，及時找到問題、改進(jìn)設(shè)計、降低風(fēng)險。二是及時開發(fā)配套監(jiān)管工具，沙盒監(jiān)管的有效運用還依賴于檢驗檢測、數(shù)據(jù)分析、智能交互等配套工具的使用，才能達(dá)到更好的效果。”

在監(jiān)管方式的革新之外，軟件人才之困也應(yīng)引起全行業(yè)的足夠重視。“提升汽車軟件的安全性，最基礎(chǔ)的還是要注重人才隊伍的培養(yǎng)與建設(shè)。目前行業(yè)內(nèi)專門的軟件人才緊缺，而且培養(yǎng)周期非常長，10年甚至20年才能成長為專家型人才。整車企業(yè)‘耗’不起，行業(yè)需求也‘等’不起。我們是否可以借鑒互聯(lián)網(wǎng)興起過程中的開源思路。比如，車載操作系統(tǒng)，如果能夠?qū)崿F(xiàn)開源，吸引多方的開發(fā)力量，進(jìn)而形成生態(tài)，能夠極大程度地節(jié)省時間成本、共享車企之間本不富裕的資源。”熊淇表示。

“建設(shè)高素質(zhì)人才隊伍，提高工程師能力是降低汽車軟件風(fēng)險的重要措施。”張浩也提出了相似的看法，“優(yōu)化軟件開發(fā)流程，盡可能做到規(guī)范開發(fā)和充分測試；提高代碼質(zhì)量，最好能做到簡潔且充分說明；根據(jù)軟件版本的成熟度和風(fēng)險等級，分類更新，以兼顧安全和效率等都是行之有效的提升汽車軟件質(zhì)量安全的措施和手段，但這一切的基礎(chǔ)是要有一個足夠規(guī)模、足夠?qū)I(yè)的團(tuán)隊。”

“汽車行業(yè)需要大量跨界的專門技術(shù)人才、細(xì)分領(lǐng)域?qū)＜?，以保障行業(yè)的穩(wěn)定健康發(fā)展。這要求傳統(tǒng)車企以開放的心態(tài)，與IT企業(yè)、互聯(lián)網(wǎng)企業(yè)、科技企業(yè)深度合作，實現(xiàn)優(yōu)勢互補(bǔ)，共同推進(jìn)智能網(wǎng)聯(lián)汽車軟件的研發(fā)與應(yīng)用。”邵元駿認(rèn)為，汽車軟件問題的成因錯綜復(fù)雜，需要政府相關(guān)主管部門、相關(guān)企業(yè)以及國家級創(chuàng)新中心等創(chuàng)新孵化平臺各司其職，從標(biāo)準(zhǔn)制定、認(rèn)證、監(jiān)管等多環(huán)節(jié)、多維度入手，破解汽車“軟”肋隱憂。（記者：馬鑫 張雅慧）