第25章 OTA升级与持续交付：OTA架构设计、差分升级策略、AB分区切换、版本回滚机制
各位同学，今天我们来聊聊车载系统里一个特别“要命”的话题——OTA升级。
为什么说要命？我当年刚入行时，参与过一个量产项目。车都交付了，发现中控有个蓝牙连接的小bug。按传统思路，得让车主回4S店刷机。你想想看，这体验得多糟糕。后来我们硬是赶工上了OTA方案，才把这事圆回来。从那以后，我对OTA就特别上心。
说白了，OTA就是给车“打补丁”的能力。但车载OTA跟手机OTA完全不是一回事。手机死机了你可以重启，车机要是升级到一半断电了……嗯，后果你懂的。
25.1 OTA架构设计：三层分离与安全通道
先看整体架构。我习惯把OTA系统拆成三层：云端、车端、升级代理。
- 云端：负责包管理、版本控制、策略下发。说白了就是“发号施令”的地方。
- 车端：运行在车机上的升级服务，负责下载、校验、执行。
- 升级代理：一个独立的守护进程，专门处理升级逻辑。为什么独立？因为万一主系统挂了，它还能干活。
这里有个关键点：安全通道。所有OTA通信必须走TLS加密，而且证书要预埋在车机里。我在项目中遇到过有人想中间人攻击，幸好证书校验做得严，没得逞。
核心原则：OTA通道必须是“只读+签名验证”的。车机永远不执行未签名的代码，这是底线。
25.2 差分升级策略：只传变化的部分
全量升级太慢了。一个系统镜像动辄几个GB，用4G网络下载，用户流量扛不住。所以业界普遍用差分升级。
差分升级的原理很简单：比较新旧两个版本的二进制差异，只传输变化的部分。车端收到差分包后，再跟本地镜像合并，生成新版本。
常用的差分算法有bsdiff、hdiffpatch。我个人偏好bsdiff，它在二进制级别的压缩率上表现不错。但要注意，bsdiff对内存消耗比较大。车机内存有限，我曾经在某个低配平台上跑bsdiff，直接OOM了。后来换了hdiffpatch，内存占用降了一半。
经验之谈：差分包的大小通常能控制在全量包的10%~30%。但如果你改动了内核或驱动层，差分率会急剧上升。所以，尽量保持底层稳定，把变化集中在应用层。
25.3 AB分区切换：无缝升级的基石
这是车载OTA最核心的机制。没有AB分区，你根本不敢在车上做静默升级。
AB分区的思路很简单：系统有两套完整的分区（A和B），一套运行，一套待命。升级时，往待命分区写数据。写完后，下次启动直接切到新分区。
我画了一张图，帮你理解这个流程：
你看，升级过程中，A分区一直在跑，用户完全无感。等B分区写完了，系统做一次“冷切换”——下次启动时bootloader检查标志位，直接引导B分区。
注意：AB分区需要双倍存储空间。如果你的车机存储只有16GB，分完系统区、数据区，再留两套系统镜像，空间会很紧张。所以，有些低端方案会退而求其次，用“单分区+恢复模式”的方案。但我不推荐，风险太高。
25.4 版本回滚机制：最后的救命稻草
升级失败了怎么办？这是每个OTA工程师最怕的问题。
回滚机制分两种：自动回滚和手动回滚。
- 自动回滚：系统启动后，升级代理会做健康检查。如果发现关键服务没起来、或者用户连续反馈crash，就自动切回旧分区。
- 手动回滚：通过诊断工具或售后指令，强制切回旧版本。这通常是最后手段。
我曾经遇到过一个案例：升级后，导航应用启动正常，但语音助手一直崩溃。用户没反馈，但后台监控到了异常。系统自动触发了回滚，用户第二天开车时发现版本回到了旧版，但一切正常。这就是自动回滚的价值。
回滚的触发条件，我建议至少包含这几项：
| 检查项 | 说明 | 超时/阈值 |
|---|---|---|
| 系统启动完成 | 所有核心服务是否在预期时间内启动 | 120秒 |
| 关键进程存活 | 如launcher、systemui、can服务 | 持续监控 |
| 用户无异常反馈 | 后台无连续crash上报 | 3次/10分钟 |
| 网络连通性 | 升级后能否正常连接云端 | 30秒 |
回滚时要注意：数据兼容性。新版本可能改了数据库结构，回滚后旧版本读不了新数据。我习惯的做法是：升级前备份一份用户数据，回滚时一并恢复。如果数据格式不兼容，至少保证用户的核心设置（如蓝牙配对、座椅记忆）能保留。
避坑指南：千万不要在回滚时清空用户数据。我曾经见过一个方案，回滚后直接格式化data分区，用户骂声一片。记住：回滚是为了修复问题，不是为了惩罚用户。
25.5 持续交付与灰度发布
OTA不只是“升级一次”，而是“持续交付”。我建议你建立一套灰度发布流程：
- 内部测试：先在公司内部车辆上跑，验证基本功能。
- 小批量灰度：选5%~10%的活跃用户，推送升级。监控48小时。
- 全量发布：确认无问题后，逐步放开到100%。
灰度发布的关键是可暂停、可回滚。一旦发现异常，立即暂停推送，已经升级的车辆自动触发回滚。这个流程我在项目里跑过很多次，每次都能提前发现问题。
好了，关于OTA升级的核心内容就这些。AB分区是骨架，差分升级是手段，回滚机制是安全网。三者缺一不可。下次你设计车载系统时，记得把OTA当成一个“一等公民”来对待，而不是后期补丁。
一句话总结：好的OTA方案，用户永远感觉不到升级的存在。坏的OTA方案，用户会记住你一辈子。
公众号:蓝海资料掘金营，微信deep3321