Gli aggiornamenti over-the-air rappresentano il fondamento operativo del veicolo software-defined. Distribuire software su centraline critiche richiede partizioni flash atomiche, convalida delle firme basata su hardware, compressione delta e macchine a stati con rollback affidabile.
I microcontrollori convenzionali riscrivono il codice in loco, rischiando blocchi irreversibili per cali di tensione. I chip per SDV ripartiscono la memoria flash in due banchi simmetrici (Banco A e Banco B). L'applicazione viene eseguita dal Banco A, mentre l'OTA manager scarica e scrive nel Banco B in background, convalidando gli hash. Al successivo riavvio, il bootloader inverte le mappature degli indirizzi per avviare il Banco B.
La sicurezza del firmware deve fondarsi su radici hardware. Le centraline moderne racchiudono chiavi asimmetriche master fuse in eFuse OTP nel modulo HSM. In fase di avvio, la ROM verifica le firme crittografiche del bootloader (ECDSA P-256 o RSA-3072), che a sua volta valida il kernel e i container. Contatori monotoni hardware impediscono il downgrade a versioni vulnerabili.
Inviare immagini complete di svariati gigabyte tramite reti mobili a intere flotte genera costi di traffico spropositati. Le pipeline OTA per SDV utilizzano algoritmi di diff binario ottimizzati per codice compilato. Invece di scaricare 4 GB, il veicolo riceve una patch delta di appena 120 MB e ricompone l'immagine esatta all'interno del banco inattivo.
Un'auto moderna contiene decine di centraline programmabili. L'aggiornamento del computer di guida autonoma impone revisioni sincronizzate su freni, radar e sensori di sterzo. Il gateway centrale coordina il flashing multi-ECU tramite DoIP e ISO 14229 (UDS), subordinato a rigorose condizioni: cambio in Park, carica della batteria superiore al 60% e assenza di codici di guasto attivi.