As atualizações over-the-air são a base operacional do Veículo Definido por Software. Enviar atualizações para ECUs de segurança crítica exige particionamento flash atômico, validação de assinatura com raiz de hardware, compressão binária delta e rollback confiável por máquina de estados.
Microcontroladores tradicionais apagam e regravam o código in-place, o que significa que qualquer falha de comunicação ou queda de energia transforma o dispositivo em um tijolo inoperante. As arquiteturas de silício para SDV resolvem isso particionando a memória flash em dois bancos físicos simétricos (Banco A e Banco B). O sistema ativo opera no Banco A, enquanto o gerenciador de OTA grava a carga útil no Banco B, calcula o hash criptográfico e grava flags em setores não voláteis de metadados. Na reinicialização seguinte, o bootloader primário lê os metadados e alterna o mapeamento de endereços para executar o Banco B com total transparência.
As atualizações de firmware não podem depender apenas de checagens em software. ECUs de alta integridade utilizam uma chave pública assimétrica gravada em eFuses de uso único (OTP) dentro do Módulo de Segurança de Hardware (HSM). Durante a inicialização, o código imutável da ROM aciona o motor criptográfico para verificar a assinatura digital (RSA-3072 ou ECDSA P-256) do bootloader. Em seguida, o bootloader autentica o kernel, os drivers e os contêineres de aplicação. Contadores monotônicos anti-rollback protegem o sistema contra o retorno forçado a versões antigas e vulneráveis.
Distribuir imagens completas de vários gigabytes por LTE ou 5G para milhões de veículos gera custos exorbitantes de saída de dados em nuvem e tráfego celular. Os pipelines de OTA para SDV utilizam algoritmos de diff binário (como bsdiff, courgette ou zstd-chunked) projetados para executáveis compilados. Em vez de baixar uma imagem de 4GB, o veículo recebe um patch delta de cerca de 120MB contendo offsets e símbolos alterados. O cliente OTA no veículo aplica o patch sobre o banco inativo, reconstruindo a imagem binária com fidelidade bit a bit.
Um veículo moderno contém dezenas de controladores programáveis. Atualizar o computador de direção autônoma exige versões sincronizadas de firmware no gateway de freios, radares e sensores de esterçamento. O gateway central orquestra campanhas multi-ECU via Diagnostics over IP (DoIP) e ISO 14229 (UDS). Antes de desbloquear qualquer setor de flash, condições de segurança rigorosas devem ser atendidas: transmissão em Park, bateria de alta tensão acima de 60%, sistema de 12V estável e ausência de códigos de falha críticos.