21、OTA更新与版本管理：OTA更新机制、版本兼容性、AB分区策略、回滚方案
OTA更新，说白了就是让车机系统能“空中升级”。
我最早接触车载OTA时，觉得这玩意儿跟手机升级差不多。后来踩了几个坑才发现——车机OTA的复杂度，比手机高出一个量级。你想想看，手机升级失败大不了重启，车机要是升级失败，用户可能连车都开不了。
OTA更新的核心机制
Android Automotive的OTA，本质上是一个完整的系统替换过程。它不像手机App那样只更新几个文件，而是把整个系统分区都换掉。
我个人习惯把OTA流程拆成三步：
- 下载阶段：车机从云端拉取增量包或全量包
- 校验阶段：验证签名、校验完整性
- 应用阶段：把新系统写入目标分区
这里有个关键点——OTA包必须是签名的。我在项目中遇到过有人想跳过签名校验来测试，结果系统直接拒绝启动。嗯，这是Google的安全红线，碰不得。
OTA包结构示例
OTA-Update.zip
├── META-INF/
│ └── MANIFEST.MF # 文件清单和哈希值
├── payload.bin # 实际更新数据
├── payload_properties.txt # 元信息（版本号、时间戳）
└── care_map.pb # 需要更新的块列表版本兼容性——最容易翻车的地方
版本兼容性，说白了就是新系统能不能跟旧数据和平共处。
我记得有一次，团队升级了数据库schema，但忘了处理旧数据的迁移。结果OTA推下去，用户的车机直接卡在启动动画。从那以后，我定了个规矩：任何数据格式变更，必须写迁移脚本。
兼容性检查通常包括：
- API兼容性：系统API不能随意删改，尤其是System API
- 数据兼容性：SharedPreferences、数据库、文件系统格式
- HAL兼容性：硬件抽象层接口是否匹配
- Vendor分区兼容性：厂商提供的驱动和库版本
我的经验：在OTA包中嵌入一个compatibility_matrix.xml，里面写明当前版本支持的硬件和软件基线。升级前先比对，不匹配就直接拒绝升级。这能省掉80%的兼容性问题。
AB分区策略——升级不中断驾驶
AB分区是Android Automotive的杀手锏。它让系统升级可以在后台静默完成，用户完全无感知。
简单说，就是系统有两套分区：
- Slot A：当前运行的系统
- Slot B：备用分区，用于存放新系统
升级时，新系统写入非活跃的Slot。写入完成后，下次重启自动切换到新Slot。如果启动失败，系统会自动回退到旧Slot。
我画了一张图，帮你理解这个流程：
你看，整个过程中，用户一直在用Slot A，完全不受影响。只有最后重启那一下，才切换到新系统。
注意：AB分区虽然好，但会占用双倍存储空间。对于存储紧张的车机，可以考虑使用虚拟AB分区（Virtual A/B），它只复制需要修改的块，而不是整个分区。
回滚方案——最后的救命稻草
回滚，说白了就是升级失败后的“后悔药”。
我曾经遇到过最惨的情况：OTA推送后，新系统在某个车型上触发了罕见的内存泄漏，车机运行半小时就卡死。幸好有回滚机制，我们紧急推送了回滚指令，所有车辆自动切回旧版本。
回滚方案通常分两种：
| 回滚类型 | 触发条件 | 实现方式 |
|---|---|---|
| 自动回滚 | 新系统启动失败（如kernel panic） | Bootloader检测启动状态，自动切回旧Slot |
| 手动回滚 | 用户或厂商主动触发 | 通过Recovery模式或云端指令切换Slot |
自动回滚的机制其实很简单：
- 系统启动时，Bootloader记录“尝试启动”标记
- 如果系统正常启动，清除该标记
- 如果启动失败（比如卡在boot animation），Bootloader检测到标记未清除，自动切回旧Slot
回滚策略配置（BoardConfig.mk）
# 启用AB分区
AB_OTA_UPDATER := true
# 设置回滚保护
AB_OTA_RETRY_COUNT := 3
AB_OTA_RETRY_INTERVAL_SEC := 60
# 回滚版本号限制
AB_OTA_MINOR_VERSION := 5这里有个坑——回滚版本号限制。我建议每次发布新版本时，都递增一个内部版本号。回滚时检查这个号，防止用户从V10滚回V1这种极端情况。你想想看，V1的数据库格式跟V10完全不兼容，滚回去数据全丢了。
版本管理的实战建议
说了这么多，我总结几条实战经验：
- 版本号要语义化：主版本.次版本.修订号，比如2.1.3。主版本变更意味着不兼容，次版本是新增功能，修订号是bug修复
- 维护兼容性矩阵：每个版本都要记录它兼容的硬件、HAL版本、vendor版本
- 灰度发布：别一次性推给所有车。先推1%，观察24小时，没问题再逐步扩大
- 保留回滚通道：至少保留最近两个版本的OTA包，万一出事能快速回滚
一个小技巧：在OTA包中嵌入一个changelog.txt，记录本次更新的所有变更点。这样即使回滚，也能知道之前改了什么，方便排查问题。
嗯，OTA更新这块内容不少，但核心就三点：安全升级、无缝切换、快速回滚。把这三点做好了，车机OTA基本不会出大问题。
公众号:蓝海资料掘金营，微信deep3321