召回案例频出 汽车软件风险高发之忧
2月21日，特斯拉宣布将在美国召回超过37.5万辆汽车。外电报道援引美国国家高速公路交通安全管理局（NHTSA）的话，此次召回车辆涉及部分运行旧版软件的2023年款特斯拉Model 3和Model Y汽车，原因是被召回车辆的电子助力转向辅助系统的软件缺陷可能导致动力转向辅助功能失效，从而加大驾驶员操控汽车的难度，增加事故风险。
事实上，由于软件故障导致的汽车召回案例层出不穷，呈现不断增多的趋势。今年1月，共有15家汽车企业向国家市场监督管理总局备案了召回计划，宣布召回共计353.67万辆汽车。记者在梳理时发现一个显著特点，即其中的不少案例便与汽车软件高度相关。例如特斯拉涉及超120万辆汽车的召回，也是前述该公司在美召回的原因；小米汽车召回部分SU7标准版电动汽车的原因是，“因软件策略问题，可能导致授时同步异常，影响智能泊车辅助功能对静态障碍物的探测，增加剐蹭或碰撞的风险，存在安全隐患”；江苏悦达起亚召回部分起亚纯电动EV5汽车，原因是“综合电子制动器(IEB)控制程序问题，在远程智能停车辅助功能启动后再解除时，车辆偶发性不能立即停止”；奇瑞捷豹路虎因为“部分车辆可能存在娱乐系统软件兼容性问题，当用户连接车载Apple CarPlay并使用某些第三方媒体播放软件播放歌曲时可能会触发仪表黑屏，导致驾驶信息无法在仪表上显示”而召回部分车辆；上汽通用五菱因为“由于电子制动助力器(EBS)软件计时系统存在问题，该系统一年按照365天进行计算，在闰年的最后一天读取日期时出现错误的循环判定状态，造成EBS系统无法正常通讯，制动助力失效”召回部分宝骏悦也……仅2025年1月，由于汽车软件层面问题所触发召回的案例达到当月全部召回案例的一半，涉及全部召回车辆的28.68%。
前不久，中国汽车流通协会乘用车市场信息联席分会公布信息，2024年，因软件问题召回的汽车高达366万辆，在全年召回中占比约41.64%。随着“软件定义汽车”逐渐演进为现实，汽车产品的缺陷也开始与软件深度“捆绑”，成为重要的风险因素之一。“智驾平权”、AI座舱，汽车智能化的冲锋号越吹越响，未来与汽车软件相关的故障、风险恐怕会越来越多。行业如何认识这样的现象？又应该如何发力，以尽可能降低汽车软件所导致的风险？
数量、复杂度、耦合度增加带来风险
“汽车软件层面出现的故障确实在增多。”东软睿驰首席科学家、NeuSAR域控基础平台事业部总监李冰在接受《中国汽车报》记者采访时表示，这一现象可以视为汽车行业发展过程中的必经阶段。首先，随着电动化、智能化的快速演进，当前汽车软件的复杂程度相比传统燃油车时代大幅提升，与嵌入式MCU时代相比可能增加百倍以上。其次，汽车行业日新月异的发展速度，也是促成这一现象的客观因素之一。如今，智能汽车的创新和迭代速度大幅加快，这要求软件开发的进度能够跟得上产品的开发周期，对所有从业者是一个非常严峻的挑战。与此同时，汽车行业在人才储备以及现有软件开发人员的知识体系等方面仍存在一定缺口。他称：“对此，我们需要正视当前问题。这可以视为一种‘甜蜜的痛苦’——在汽车智能化进程较快的市场上，其发展过程中往往会先一步出现汽车软件相关问题。中国已成为汽车智能化的‘先发者’，行业应积极应对并采取相应的措施。”
华阳通用智能座舱事业部总经理左勇认为，“软件定义汽车”时代，意味着软件能够实现的功能越来越多，以前很多依靠硬件控制的功能都将依靠软件来完成。这必然导致软件的数量、复杂度、耦合度不断提升，其风险也会随之而来。“尤其是在大量功能通过软件叠加实现的情况下，触发在软件设计过程中没有预估到的场景的概率在提升，这必然造成故障率走高。”他对记者说。
在记者的采访中，还有不少行业专家提出了电子电气架构进化对汽车软件缺陷所带来的影响。据了解，最近两三年来，不少整车企业完成了新一代整车平台架构的开发和量产工作，它们多采用域融合或中央计算/跨域融合的模式。行业专家分析指出，无论新的整车平台架构采用上述何种模式，零部件的功能、复杂度都比以往增加不少，控制器上的软件复杂度也相应的增加。
智能驾驶、智能座舱成为“重灾区”
今年开年以来，我国汽车行业出现席卷“智驾平权”的浪潮。可以预见，本就呈现多发趋势的汽车软件故障问题，有可能随着这一轮智能化的加速变得更加错综复杂。
“从我们实际业务的角度来看，智能驾驶、智能座舱这两大领域因为处于汽车智能化的最前沿，出现问题的概率相对高一些。”左勇告诉记者，“其中，智能座舱出现软件故障，可能影响用户体验的流畅度等，虽然体验不理想，但问题不致命；智能驾驶因为软件问题出现功能故障，则更加危险，需要全行业高度重视。”
李冰说道：“以智能驾驶功能为例，其软件开发的复杂度非常高，而市场对于智能化功能的需求以及消费者对智能化体验的期待，推动车企持续加快创新迭代的速度。这些因素的叠加不可避免地带来智能化功能开发中的软件故障风险。”
记者通过采访还了解到，虽然行业对智能驾驶非常重视，但随着竞争压力的加剧与传导，以及对成本降低的不断追逐，部分企业对硬件层面的要求逐步下探。受此影响，软件客观上就要承担更多冗余备份的需求，导致智能驾驶出现软件故障的风险进一步增加。
“除智驾外，行业还应该重视的一个‘隐形’领域——那些已基本趋于稳定的功能。”李冰分析认为，“在‘软件定义汽车’以及汽车智能化的大背景下，一些原本稳定的功能与新功能叠加组合，导致软件及相关之间调用关系的复杂度陡增。在这种情况下，这类原本成熟且稳定的功能，出现故障的概率有所增加，汽车开发人员需要对此格外关注。”
“相对于传统的汽车嵌入式控制器软件，与智能化系统相关的软件出现故障隐患的风险更高。传统的控制器软件功能较为单一，软件故障易于发现和收敛。智驾、智舱这些系统的功能实现，涉及底层驱动软件、操作系统、中间件、应用层等多个层级的开发，本身的复杂度高，不同进程间调用的关系也复杂，容易出现问题的几率更大。”上海艾拉比智能科技有限公司总裁芮亚楠向记者表示。
从标准、架构、定义入手攻关
“实际上，汽车软件故障的高发、频发是行业进步必然要经历的；而且，我们缺乏先例可以参考、借鉴，需要全行业一道携手答好这张‘考卷’。”李冰在采访中表示，“通过参考其他行业的发展脉络，汽车行业比较容易找到可能的‘解题思路’。例如，我们可以回顾手机从功能机向智能机转型的历史进程，从而发现几个现象。一是手机操作系统的发展，是通过建立生态最终确立市场主导地位的；二是进入智能手机时代后，行业就开发流程范式逐渐达成共识，软件架构变得更加高效合理，开发工具链也在不断进行完善。当然，汽车与手机存在巨大的区别，安全性是汽车产品的底层属性，高实时性、高安全性功能与非实时性功能并存。结合这些特殊条件，降低汽车软件故障风险应从标准、架构、定义层面入手，可否在设计之初就明确功能定义，根据不同功能的安全性、实时性要求，采用不同的开发模式。”
这一问题折射出传统汽车开发工作中被奉为圭臬的V型模型的部分失灵。在记者采访中，一些行业专家指出，V型开发模型的兴起，伴随着欧美汽车企业的成长，充分满足了它们当时的开发需求，符合当时软硬件的发展水平，保证了整车产品的安全性、稳定性与可靠性。然而，在汽车智能化进展如此神速的今天，这样的开发模型显然难以继续适配软硬件的迭代需求。一些外资企业在研发设计中依然墨守成规，也在一定程度上导致它们难以适应中国市场当下快速变化的需求，从而出现“上市即落后”的情况。适合汽车智能化时代要求的新开发范式尚未成为行业共识，使得一些故障和缺陷的苗头被隐藏在设计阶段。尤其是现阶段，汽车产品迭代速度如此之快，不少车企为了在市场上获得更好的销量表现，在设计任务下达之后又结合竞品的功能，提出更多新的要求，系统的耦合度、调用关系进一步复杂化，软件架构也不是最优解。
“软硬分离、分层解耦，一直是我们所倡导解决高复杂度、高实时性开发需求的策略，而且我们认为也是目前的最优方案。理论上说，分层越细致，上层（与功能相关）的开发就越容易，安全性越高（越不容易出错）。”李冰告诉记者，“降低软件故障率，一定要有优秀的开发体系做支撑，尤其是推动标准的制定，推动全行业达成共识。作为AUTOSEMO（中国汽车基础软件生态委员会）的创始会员单位，东软睿驰也一直在深度参与并推进ASF（AUTOSEMO服务框架）等技术规范的相关工作，与国内主流车企及行业上下游企业推进软件架构的分层和定义，推动软件开发方法的共识与标准化。”
左勇表示：“我们一直在与车企共同努力，尝试寻找符合中国汽车智能化发展特点，在功能实现条件下兼顾安全、稳定、可靠、敏捷、高效率的新开发模型。因为有了人工智能等工具的辅助，我们一定能够更快地探索出一条新路。”
OTA发挥帮手作用 但非“拐棍”
“在应对汽车软件故障及缺陷的方面，我们希望OTA系统能够成为最得力的工具，帮助车企及一级零部件供应商在发现问题之后快速定位、溯源、解决软件问题。”芮亚楠说道。
在前述特斯拉的召回案例中，该公司的解决方案是：免费为召回范围内的车辆升级至更高版本软件；对于无法通过OTA技术升级的车辆将实施召回，免费为客户更换行车电脑，以消除安全隐患。同样的，小米汽车方面对于召回做出回应，将通过OTA技术为召回范围内的车辆免费升级软件，以消除安全隐患；上汽通用五菱将为召回范围内的车辆升级EBS软件，以消除安全隐患，部分车辆已升级过优化后的软件，无需再次升级。
据了解，OTA因为部署迅速、升级灵活，正在成为弥补汽车软件所带来故障、缺陷的最佳“拍档”。反过来，这也倒逼企业必须做好汽车软件版本管理。“当前，行业内智能驾驶的覆盖率正在快速提升，会带来更多的OTA升级。”芮亚楠提出，“首先要认识到，软件本身的特质就是可根据市场反馈，通过敏捷的方式不断优化更新。同时，也需正视软件大概率会存在缺陷这个现实。我们建议车企防范汽车软件隐患带来的影响，提前做好远程诊断、远程排故、远程修复的能力预埋。有了这些前期准备，当软件真的出现问题时，车企能够第一时间排查、找到问题出现的原因。此外，我们建议车企重视日志生成及格式的各种统一化、规范化管理，对系统软件版本进行统筹规划。”
“OTA不是‘万能药’，而且对于消费者来说，过于频繁的OTA可能影响汽车品牌在他们心中的可信度和美誉度。”一位不愿具名的高校教授向记者道出了对车企OTA的担忧，“现在的OTA，大部分还是升级车型的现有功能，修正一些问题；日后，越来越多的车型用上智驾功能，从AEB到NOA，功能升级将是海量需求，这其中又会夹杂不少的问题。目前，各整车企业旗下有如此多的品牌和车型，这种升级对任何工程开发团队而言都将是巨大的挑战。所以，我认为OTA是帮手，但不是‘拐棍’，企业更应在产品设计之初做好平台级别的软件版本管理与协调，统筹规划功能的实现与更新。”
