Ein modernes Fahrzeug erhält im Laufe seines Lebens Dutzende Software-Updates, die meisten davon per Fernzugriff über die T-Box. Over-the-Air-Aktualisierung im Automobilmaßstab ist ebenso ein Problem der Kryptografie, des Speicherlayouts und der Fehlerbehebung wie der Konnektivität: Ein fehlgeschlagenes Update eines Brems-, Batterie- oder Konnektivitätssteuergeräts ist keine Unannehmlichkeit, sondern ein Sicherheitsereignis. Dieser Artikel erläutert, wie eine sichere OTA-Kampagne aufgebaut ist, warum A/B-Partitionen das direkte Flashen abgelöst haben, wie die Secure-Boot-Kette das Vertrauen in Hardware verankert und wo die T-Box als Update-Master des Fahrzeugs sitzt.

Die Architektur der OTA-Kampagne

Ein typischer Ablauf verläuft in Stufen von der Cloud zum Steuergerät: Das Backend verwaltet Fahrzeug-Kohorten und Versionsbestände, signiert Update-Pakete und versendet eine Kampagnenbenachrichtigung; die T-Box lädt das Paket über Mobilfunk oder Wi-Fi herunter und prüft unterwegs Kontrollpunkte; ein Update-Manager im Fahrzeug entscheidet den Zeitpunkt anhand des Fahrzeugzustands (geparkt, ladend, ausreichend Batterie); und die Zielsteuergeräte werden über CAN-FD oder Automotive Ethernet mit der in unserem CAN/UDS-Artikel beschriebenen UDS-Sequenz geflasht. Telemetrie meldet das Ergebnis jedes Fahrzeugs zurück in die Cloud und gibt dem Kampagnenmanager eine geschlossene Erfolgs-/Fehlerschleife sowie die Möglichkeit, einen Rollout zu pausieren, sobald die Anomalieraten steigen.

Delta-Updates und Download-Strategie

Vollständige Steuergeräte-Abbilder über Mobilfunk sind teuer, daher verwenden Plattformen differenzielle (Delta-)Pakete — binäre Diff-Algorithmen wie bsdiff kodieren nur die Bytes, die sich zwischen alter und neuer Firmware geändert haben, und schrumpfen ein 200-MB-Update auf wenige Megabyte. Das Fahrzeug rekonstruiert das vollständige Abbild lokal gegen seine bekannte aktuelle Version, weshalb eine genaue Versionsinventur wichtig ist: Ein Delta gilt nur für die exakte Basis, von der es erstellt wurde. Downloads sind fortsetzbar, auf freien Flash abgestimmt und werden bevorzugt in nicht getakteten Netzen geplant.

A/B-Partitionen: Aktualisieren, ohne das Gerät zu gefährden

Das sicherste Speicherlayout hält zwei vollständige Kopien der Firmware vor, üblicherweise die Slots A und B. Das System läuft aus dem aktiven Slot, während das Update in den inaktiven Slot geschrieben, geprüft und vorbereitet wird — das laufende Fahrzeug wird nie angetastet. Beim nächsten Neustart versucht der Bootloader den neu geschriebenen Slot; bootet er und bestätigt seine Gesundheit innerhalb eines festgelegten Fensters, wird er als aktiv markiert. Schlägt etwas fehl, fällt der Bootloader beim nächsten Start einfach auf den unberührten vorherigen Slot zurück. So wird ein schlechtes Update selbstheilend und das gefährliche Fenster entfällt, in dem ein unterbrochenes direktes Flashen überhaupt keine lauffähige Firmware hinterlässt.

Die Secure-Boot-Vertrauenskette

Die Update-Sicherheit ruht letztlich auf Secure Boot. Das Vertrauen beginnt in unveränderlichem ROM-Code und kaskadiert Stufe für Stufe, wobei jede Schicht die digitale Signatur der nächsten prüft, bevor sie diese ausführt:

• Wurzel des Vertrauens — Schlüssel-Hashes, die bei der Fertigung in die Hardware eingebrannt werden, können im Feld nicht geändert werden.
• Stufenweise Prüfung — das ROM prüft den Bootloader, der das Betriebssystem/den Hypervisor prüft, der Anwendungen und Steuergeräte-Abbilder samt OTA-Paketen prüft.
• Anti-Rollback — ein monotoner Versionszähler im sicheren Speicher weist ältere signierte Abbilder zurück und hindert Angreifer daran, auf eine Version mit bekannten Schwachstellen zurückzukehren.
• Sicherer Speicher und Schlüsselumgang — Signaturschlüssel verlassen die Backend-HSMs nie; das Fahrzeug hält nur öffentliches Prüfmaterial, und Geheimnisse liegen in einem Secure Element oder der TrustZone-Welt.

Die T-Box als Sicherheitsgrenze

Da die T-Box das einzige dem öffentlichen Internet ausgesetzte Steuergerät ist, ist sie die Perimeter-Firewall des Fahrzeugs. Die Härtung umfasst: gegenseitig authentifiziertes TLS für Cloud-Sitzungen; sichere On-Board-Kommunikation (authentifizierte, frischheitsgeschützte CAN-Nachrichten unter AUTOSAR SecOC), damit eine kompromittierte T-Box interne Steuergeräte nicht frei befehligen kann; Protokollierung der Angriffserkennung; Service-Konten mit minimalen Rechten; und schnelle Schwachstellenreaktionsprozesse nach Normen wie ISO/SAE 21434 und UN R155/R156, die Cybersicherheitsmanagement und Update-Fähigkeit in vielen Märkten zur Typgenehmigungspflicht machen.

Eine verlässliche Update-Kampagne entwickeln

• Jedes Update voraussetzen: ausreichender Ladezustand, stabiler Parkzustand, genug Flash und garantiert unterbrechungsfreies Fenster.
• A/B-Slots mit automatischem Rollback und expliziten Gesundheits-Commit-Kriterien verwenden.
• Jedes Paket durchgängig signieren, vor der Aktivierung prüfen und Anti-Rollback-Zähler erzwingen.
• In gestuften Kohorten mit Kill-Switch-Überwachung ausrollen; jedes Steuergerät auch nach dem schlimmsten Fehler über UDS wiederherstellbar halten.

Weijiang Power: Stromzusicherung für sichere Updates

Ein Steuergerät darf mitten im Update nicht stromlos werden. Weijiang Power liefert breittemperaturfeste NiMH- und Lithium-Notfallzellen sowie kundenspezifische Packs, die die T-Box eine Versorgungsunterbrechung überstehen lassen und einen Flash-Zyklus abschließen oder sicher abbrechen, mit langer Kalenderlebensdauer passend zum Update-Unterstützungsfenster des Fahrzeugs. Senden Sie uns Ihr Rail-Design und die längste Update-Dauer, und unsere Ingenieure dimensionieren die Überbrückungsenergie hinter einer ausfallsicheren OTA-Strategie.