定义
T-Box（Telematics Box，车载终端）是车联网核心设备，负责车辆与云端通信。设备管理平台与 T-Box 深度集成，支持 FOTA 固件升级、X.509 证书认证，满足车规级安全与升级要求。
功能与车规要求
T-Box 集成蜂窝通信（4G/5G）、GNSS 定位、CAN 总线接入等能力，实现车辆状态上报、远程诊断、Remote Control 远程控制及 OTA 升级。车规级要求包括宽温工作（-40℃～85℃）、抗振动、EMC 兼容、功能安全（ISO 26262）及信息安全（ISO/SAE 21434）。设备管理平台需支持车规级 FOTA 流程，包括差分包、断点续传、Maintenance Window 维护窗口、升级失败自动回滚等。
与 DMP 的集成
平台通过 MQTT、HTTP 或车企私有协议与 T-Box 通信。设备认证通常采用 X.509 证书 或 One Device One Secret 一机一密；OTA 任务可按车型、批次、灰度策略下发；支持 Maintenance Schedule 维护计划与车辆空闲时段智能调度。平台需与车企 TSP（Telematics Service Provider）系统对接，实现车辆主数据、用户绑定及业务策略的统一管理。
应用场景
T-Box 广泛应用于乘用车、商用车、两轮车等。设备管理平台支撑整车厂对全量车载终端的统一监控、升级与运维；支持故障远程诊断、软件缺陷快速修复、新功能 OTA 推送；与车联网业务平台协同，实现车辆全生命周期数字化管理。
车载终端在平台侧代表的是车辆接入点
车载终端在设备管理里不是一块孤立的通信模组，而是车辆与平台之间的接入点。平台通过它接收车辆状态、下发诊断请求和安排软件升级。终端标识要能对应到具体车辆，否则同一辆车更换终端后，历史遥测和升级记录会断成两台设备。更换时应保留车辆主键，把新终端绑定到原车辆，并停用旧终端的凭证，而不是新建一辆“车”。
上报内容至少要能区分终端自身的在线、供电和存储状态，以及从车辆网络读到的业务状态。两者混在一个在线标志里，终端没电和车辆熄火会无法分辨。位置、里程、故障码若由终端转发，时间戳应使用车端采样时刻，而不是平台收到的时刻。补传时更要带原始采样时间，否则行程会被画到补传发生的那一天。进入平台的测量值仍按遥测保存，不要因为来自车辆就另建一套无法查询的私有表。
车规升级对窗口和回滚的额外约束
车辆上的软件升级比普通物联网设备多几条使用条件：车辆处于允许升级的状态、车速和挡位满足约定、蓄电池电量足够完成写入和可能的重启、驾驶员或车端策略没有拒绝。这些条件由终端在执行前检查，平台不能只凭“设备在线”就切换分区。维护窗口在这里是车辆可被打断的时段，往往是停放时段，而不是运营人员的办公时间。
失败后的返回路径必须在升级开始前就存在。支持双分区的控制器应能在新版本无法完成交验时启动旧版本，并把结果报告给平台。平台侧的任务状态跟随车端报告，不能在包刚传完时就记成功。下载可以断点续传，但续传不能跨越已经作废的包。批量任务按车辆批次推进，下一批要等上一批的确认或回滚结束，避免在同一站点同时把太多车辆停在待确认状态。
把消费类配网流程套到车端
消费设备常用的扫码配家庭网络、由手机热点中转，不能原样套到车载终端。终端的入网通常在产线或服务站完成，凭证预置在受保护的存储里，网络是蜂窝或车间专网，不是车主的家庭路由器。让车主应用去改终端的接入密钥，会使服务站和车主同时持有配置权，后续证书轮换无法判断哪一次是有效的。
另一处错位是把控制器升级当成终端参数下发。动力或底盘相关的软件有自己的兼容矩阵，终端只是通道。平台若允许绕过矩阵，按普通配置任务写进任意版本，可能把不匹配的软件送进控制器。任务创建时应检查车型、控制器硬件号和当前软件号是否在允许的组合里，不在组合里就拒绝，而不是先下发再看车端是否报错。点火循环会中断未完成的写入，任务必须能从车端上报的步骤继续，不能在每次上电时从头再写一遍另一份包。
车辆、终端和控制器三级标识要同时出现在升级与诊断记录里。只有终端标识时，无法说明这次写入落在哪一个控制器上；只有车辆标识时，更换终端后会把新旧硬件的失败混成一条曲线。服务站更换硬件要提交替换关系，平台把未完成任务改挂到新硬件之前，先停止向旧硬件下发。点火状态和驻车状态由终端在执行前上报，平台不根据“晚上”推断车辆一定可升级。推断错误会在行驶中启动切换。