Les mises à jour OTA constituent le socle opérationnel du véhicule défini par logiciel. Mettre à jour des calculateurs critiques exige un partitionnement flash atomique, une signature ancrée dans le matériel, une compression binaire delta et une machine d'états de rollback infaillible.
Les calculateurs traditionnels écrivent en écrasant le logiciel actif, exposant le système à une corruption définitive en cas de coupure d'alimentation. Les puces SDV séparent la mémoire flash en deux bancs physiques symétriques (Banc A et Banc B). Le véhicule tourne sur le Banc A pendant que l'agent OTA flashe le Banc B en tâche de fond, valide l'empreinte et configure les métadonnées. Au redémarrage, le bootloader de premier niveau permute l'adressage pour démarrer instantanément sur le Banc B.
La sécurité des mises à jour ne peut reposer sur de simples contrôles logiciels. Les calculateurs modernes intègrent une clé publique gravée dans des eFuses non modifiables au sein du HSM. Au démarrage, la ROM immuable vérifie la signature numérique (ECDSA ou RSA) du bootloader, qui authentifie à son tour le noyau et les applications. Des compteurs matériels anti-rollback interdisent formellement la réinstallation d'anciennes versions vulnérables.
Diffuser des images système complètes de plusieurs gigaoctets via la 4G/5G sur des millions de véhicules engendre des coûts télécoms colossaux. Les pipelines OTA modernes exploitent des algorithmes différentiels binaires spécialisés pour les fichiers compilés. Au lieu de télécharger 4 Go, le véhicule reçoit un patch delta de 120 Mo qu'il applique pour reconstruire l'image binaire avec une exactitude au bit près.
Un véhicule intègre des dizaines de calculateurs programmables. Mettre à jour l'ordinateur de conduite automatisée requiert la mise à jour coordonnée des radars, freins et capteurs d'angle. La passerelle centrale orchestre le flashage multi-ECU via DoIP et ISO 14229 (UDS). Des interverrouillages stricts sont exigés avant toute opération : boîte en position Park, batterie haute tension supérieure à 60%, réseau 12V stable et absence de codes défauts majeurs.