从OTA产品设计和技术角度：聊一聊长安街“蔚来OTA事件”

雷锋网新智驾按：本文来自OTA技术服务商艾拉比，雷锋网(公众号：雷锋网)经授权转载（略有删减）。

最近，长安街“蔚来OTA事件”自发生以来，一直热度不减。在广大网友“狂欢”过后，汽车圈内专家纷纷登场，从各个角度对此次事件进行了深入的分析和评论。

作为一家专业的汽车OTA技术服务商，我们最近收到很多行业伙伴的咨询，艾拉比是如何看待这个问题？是否有更好的解决办法？

在表达我们的观点前，首先简要回顾此次事件。

近日，一位蔚来汽车的车主所乘坐的蔚来ES8行驶至北京长安街路口时，弹出可升级系统的信息，该车主挂P挡准备升级。在同意系统升级后，意想不到的情况发生了，整个显示屏全黑了，默默升级了一个多小时。这期间，车辆无法正常操作，警察过来也无可奈何。

事件发生后，由于蔚来汽车的关注度和北京长安街位置的特殊性，迅速产生了超强化学反应，很快在朋友圈、微博等网络渠道传播开来，有吃瓜群众看笑话的、有落井下石的、有吐槽的，也有理性分析客观看待这一问题的专业人士，给予了各种支招小贴士。

对于这次事件，艾拉比也是第一时间关注到，总裁芮亚楠和多位业内专业人士进行了交流。由于询问者众多，我们统一做个回复。从OTA产品设计和技术角度出发，表达下我们的观点：

1、首先汽车升级的提醒、确认和执行，必须跟汽车的行驶状态互斥，从源头上规避车主在驾驶途中可能出现升级误操作的概率； 

2、其次是汽车升级的提醒方式，如果是推送升级，建议是消息通知栏显示而不是整屏的弹窗提醒，另外就是软件更新入口的红点提示，需要车主主动点击去升级；

3、升级前的车主确认环节也非常重要，必须要重点告知车主升级所消耗的时间以及升级过程中车辆状态，同时需要提醒用户升级时机和停车位置等。此外还需要加入二次确认的界面，以防止车主之前对消息浏览的忽略。 

二次确认非常重要，很多车主对于第一次消息中的风险提示不够重视。在车主点击确认后，再次把重点的内容提示车主，告知车主升级所需的时长和升级过程中车将处于什么样的状态，增加车主的重视度。通过这样反复的风险提示来避免点完确认后，发现升级时间不够这种情况的发生。

以上是从产品交互设计层面我们的看法，那么针对本次长安街“蔚来OTA事件”，还有一点也很值得探讨，蔚来这次OTA更新包大小达到2.6G，升级耗时1小时1分钟，根据这个初步判断应该是采用了全量包升级。

在升级方式中，与全量包升级对应的还有差分升级。差分升级对于操作系统的更新是极其重要的，能有效减小更新包大小，更大的好处是在于能够减少用户可感知的等待安装的时间。未来随着软件迭代频率加快，差分升级是一种更优的选择，同时也可以大幅减少升级时消耗的流量费用。

梳理下整个事件，问题的核心并不是在于车辆停驶，然后才能收到升级提醒的消息，而是在于产品的设计层面，二次确认和二次提醒的导入，提示语的设计。否则，假设车停在路边等人这样的场景下还会出现类似的问题。

分析完这件事情的来龙去脉，我们觉得有必要从更深层次向大家普及汽车OTA是什么？如何避免此次事件再次发生呢？

“系统更新”是什么？

系统更新，其实就是升级系统，业内称为OTA或者FOTA。

对大众来说，最熟悉的就是手机的系统更新。升级系统顾名思义就是在原来的系统基础上，更新为新的系统。这个新的系统可能更新了一些系统出现的问题，也可能优化了用户体验，或者增加了新的功能等等。系统更新就是通过OTA技术实现的。

OTA (Over-The-Air Technology) 即空中下载技术，是通过网络升级软件或者固件系统的一种技术。有时候我们会将OTA又称作为FOTA，FOTA是固件空中升级（Firmware Over-The-Air），比如我们的PC，平板，手机，单片机等远程升级能力都可以成为FOTA。

汽车也有系统升级？

随着车联网技术与产业的发展，车辆集成的汽车控制器越来越多。软件定义汽车（简称SDV）将成为汽车行业普遍的发展趋势。汽车行业80%~90%的创新基于电子，都离不开软件的支撑，整车代码量已经突破1亿行。

不断攀升的代码量即使按照CMMI（能力成熟度集成模型）5级的最高软件标准进行控制，代码缺陷率仍为0.32‰，针对汽车行业，这样的潜在缺陷不容小觑。

汽车一旦出现软件问题，目前的线下店召回模式不但成本很高用户体验也非常不好。那么通过远程更新软件的需求越来越强烈，可以说OTA是未来智能化汽车时代的必然选择。

汽车的OTA 不仅仅只是简单的升级一个车机、仪表这些智能设备，非智能设备的软件也可以进行OTA升级。越来越多的汽车开始支持整车升级。

整车升级的电子器件包括哪些？

下图列出了一些重要的电子器件设备。不仅仅这些电子器件，随着汽车越来越智能化，汽车的电子器件越来越多，OTA升级的电子器件也将越来越多。

整车是如何进行OTA升级的？

从车辆研发阶段开始，车厂就需要考虑OTA的实现。

对于带有智能系统的电子器件一般考虑差分升级，差分升级具有升级包小，流量消耗少，升级时间短等优势。对于其他非智能电子器件，就需要借助诊断刷写的技术完成软件更新。

接下来我们简单介绍一下整车OTA升级流程：

如上图所示，一个简易的整车OTA体系，整车升级的流程如下：

1、云端进行车型、车辆、软件及版本发布等管理；

2、汽车端向云端发起是否存在更新软件的检测；

3、汽车端下载可更新的升级包；

4、汽车端新软件安装前准备，包含安装条件校验、安装前的提示及交互；

5、汽车端开始新软件安装，升级主控程序向各电子器件传输升级包；

6、智能器件一般采用差分升级，非智能类器件当前阶段一般采用诊断刷写方式更新。

如何避免类似的事情发生？

在设计OTA车端升级的时候，尽可能的站在车主角度考虑，满足多数车主的行为方式。比如作为车主，当看到系统需要升级的时候，有时候会有几方面的考虑。

1、存在侥幸心理，认为车机升级不影响使用。

虽然蔚来已经在升级的时候充分告知了用户影响，但是仍然会有一部分车主没有充分考虑。因此除了需要车主提高对车辆的认知外，另外一方面车厂还需要考虑到这些车主的情况。在提醒车主的时候，尽量凸显影响，多次跟客户确认。

2、部分车主会认为现在系统有问题，会影响驾驶安全，越早升级越安全。

越早升级确实越安全，但是考虑驾驶情况的问题。在提示用户的时候，还是需要说明详细，修复了哪些问题，对于驾驶的影响是什么。并且提醒车主，正在行驶，或者其他方面不受影响，以打消车主的疑虑和担心。

基于以用户体验为第一要务的原则，我们认为车厂可以在产品设计之初，从以下几个技术细节去优化：

1、  车主交互设计提升

关于这一点，我们前面已经讲到，首先是升级提醒，需要充分考虑用户友好性设计，减少用户可能误操作的交互设计，其次就是升级前的提示，要重点告知车主升级所需时间以及升级过程中车辆状态，同时还需要提醒用户注意升级时机和停车位置等，针对这些提示还需要加入二次确认的界面，以防止车主对之前提示浏览的忽略。另外还可以增加预约升级等功能，让车主可以选择一个恰当的时机进行升级。

2、  娱乐系统与控制系统分开升级

汽车各电子器件从功能上可以分为两类：应用娱乐系统和汽车控制系统，应用娱乐系统一般升级包大升级时间长，这部分系统升级只会影响网络以及中控屏的使用不影响汽车正常驾驶，而汽车控制系统部分的刷写升级则需要更多考虑安全和稳定，所以一般在升级过程中是无法使用车辆的，但是这部分的软件包都比较小升级所需时间短。因此可以从升级流程设计上做区分，减少长时间的车辆无法使用的场景出现。

3、  差分升级极大的缩短升级时间

另外一个可以减少升级时间的做法就是采用差分或者叫增量升级方式，软件的版本迭代都是基于之前的版本进行部分修改，如果升级过程只是将这些修改的部分更新到现有版本里而不是整包更新的话将极大缩短升级所需时间，一个1G的整包通过差分算法制作出来的升级包可能只有几十兆，可以明显的缩短升级包传输以及安装时间。

4、  A/B双分区备份升级

最后很多人都在问，能否做到开车与升级互不影响呢？当然可以，这就需要采用A/B双分区备份升级方案，这也是我们强烈建议的升级方案。这种升级方案只会在备份分区安装升级包，而不影响正在使用的分区，升级过程不会影响汽车各零部件的正常工作。这种方案需要硬件空间支持，成本较高，但是对于稳定安全大于一切的汽车来说，付出这样的成本也值得。

畅想“未来”OTA升级发展

未来OTA 要考虑更加智能化。

比如我们可以考虑获取用户的定位信息，如果不是在合理的地方，可以拒绝进行升级。另外，需要结合交通情况来确认服务端是否给该车发送推送信息。我们也可以获取车辆的数据信息，上传至OTA服务器，经过大数据分析，分析出车主的驾驶习惯，车主经常驾驶的时间，停车的时间等信息。针对不同的用户，制定不同的升级策略。

OTA在汽车智能化进程中，占据了重要的位置。我们认为，OTA将带来汽车的再一次革新，未来车厂不仅仅是通过销售汽车获取收益，也将在车联网运营上再次获取持久收益。

雷锋网版权文章，未经授权禁止转载。详情见。