📚 智能硬件PM学习日报 | 2026-09-22（周二）
取材说明：任务里的两条 `curl` 直连 Google 在本机仍被网络策略拦截（实测 `http=000`、0 字节，与 09-17～09-21 一致），已改用备用检索通道取材，来源真实可查（见文末）。本主题历史日报从未作为主主题讲过（此前已覆盖 IPD / NPDP / 竞品分析 / PRD / DFM×2 / BOM成本 / GTM / 测试验证 / 用户调研 / 路线图 / 跨部门与供应链 / 专利布局 / 迭代策略 / 质量管理体系 / 敏捷开发 / 平台化CBB / 认证与合规 / 成本工程DTC / 可靠性DFR / NPI / QFD与KANO / 工程变更管理 / 无人机法规合规 / 定价与报价），符合轮换要求。已归档 `/home/ubuntu/reports/pm-learning-2026-09-22.md`，并同步语雀 → https://www.yuque.com/pm-bonner/hermes-learning/pm-report-20260922-ota
与既有主题的分工：09-17 讲 NPI（产品怎么从研发交到制造手里）；今天讲产品出厂之后的那十年怎么活——固件升级是你与已交付机器之间唯一的那根线。09-19 的 ECN 管"图纸改了怎么切"，今天管"已经装在客户现场的机器怎么改"。
🎯 今日主题（约15分钟）：交付不是终点，是版本 1.0 的发布日
一句话概括：过去硬件的完成度由出厂状态定义，今天由最后一次固件推送定义。谁能管理"卖出设备上的那个版本号"，谁就掌握了产品上市后的全部主动权——修缺陷、加功能、做合规、卖订阅，全都要经过固件这扇门。
一、概念：先把术语拆开，会上不再被工程师绕进去
| 术语 | 中文 | 一句话理解 |
|---|---|---|
| FOTA | 固件空中升级 | 远程给设备嵌入式固件换版本（区别于应用/软件升级） |
| 差分升级 | Delta/增量 | 只传新旧差异包，省流量存储；但恢复耗时长、需更多内存 |
| 全量升级 | — | 传完整镜像，不依赖设备当前版本、速度快，但包大费流量 |
| A/B 双分区 | Dual-bank | 新版本写进空闲分区，重启切换，失败切回原分区 |
| 单分区电控 | — | 升级全程设备无法使用，风险与体验都更差 |
| 灰度发布 | Staged Rollout | 先推 1%/5%/20%，看失败率再全量 |
| 版本兼容矩阵 | Compatibility Matrix | 整机内各部件/App 之间哪些版本能配在一起的对照表 |
| 强制/关键版本 | Mandatory/Critical | 低于指定版本不允许继续使用（米家"强制升级版本"、涂鸦"关键版本"） |
为什么这变成 PM 的主战场：硬件毛利被持续压缩（回顾 09-15 成本工程、09-21 定价），价值向软件与服务转移；而"软件/服务收钱"的物理前提只有一个——设备必须能被远程更新。OTA 不是运维功能，它是商业模式的地基：没有 OTA，就没有功能订阅、没有远程运维服务费、没有合规升级改造收入（09-21 报价表第③⑤⑧行全部落空）。
二、一台机巢不是一个固件，是十几个部件的固件矩阵
大疆公开的机场3 / Matrice 4D 系列发布记录里，一次版本发布要同步这么多人（真实清单）：
机场固件 v14.03.05.05 ｜ 飞行器 v14.03.05.05 ｜ 充电管家 v00.03.00.12 ｜ 遥控器 v01.64.06.03 ｜ AS1 v01.00.01.11 ｜ AL1 v01.00.29.85 ｜ 避障雷达 v01.00.00.45 ｜ D-RTK 3 v14.03.00.06 ｜ DJI Pilot 2 App v14.3.0.34 ｜ 行业 App v2.4.1 ｜ Assistant 2 v2.1.20
而《大疆机场3 作业流程》文档对设备管理界面的描述更直白：可查询设备 SN、固件版本号、当前状态、所属项目、加入组织时间；"可对设备进行远程升级，一键即可升级到最新版本"；当"固件升级"列显示"待升级"时，"建议及时升级确保机场、飞机、中继站等的固件匹配"。
PM 读出的三件事：
- "匹配"是关键词。 机场升了、飞机没升、中继站还在两个版本前——这不是"不够新"，是功能不正常甚至安全风险。你要交付的不是"最新固件"，而是一组通过兼容性验证的版本组合。
- 你的交付物是一张表：《固件与版本兼容矩阵》——行＝各部件/机型/硬件批次，列＝版本，绿=已验证、黄=需现场验证、红=禁止组合。投标时能截图给甲方看（"这一版机上跑的是什么"必须一句话答得出）。
- 版本号规范要写进技术协议。 行业实践推荐语义化版本 + 硬件限定符：同为应用 2.7.1，引脚或 PMIC 时序不同的硬件要区分为 `app-2.7.1+hwA` 与 `+hwB`——否则同一版本号刷到两种硬件上会得到两种故障现象，售后永远查不清。
三、升级的物理现实：为什么"点一下升级"这么难
A/B 双分区可以用数字说话：某 OEM 实测，双分区架构使升级失败率从 3.2% 降至 0.7%（更新在非活动分区执行，重启后切换，保留上一个可用分区作备份）。
失败原因与占比（可直接当设计输入）：
| 失败场景 | 占比 | PM 要落成的需求 |
|---|---|---|
| 存储空间不足 | 25% | 预留 ≥1.5 倍包体大小 空间；长期在线设备定期清日志 |
| 签名验证失败 | 18% | 多为证书过期/包损坏 → 证书有效期要进运维台账 |
| 电量过低 | 12% | 阈值通常 30%；大疆官方文档明确"电量不足 50% 导致升级过程断电" |
| 分区写入错误 | 8% | 多见于低端存储器件，选型阶段就要过这一关 |
无人机场景特有约束（几乎没人写进 PRD）：
- 飞行中不能升级。 升级窗口只能是落地、待机、非任务期；"接警即飞"的业务里，升级窗口本身就是稀缺资源。
- 升级条件必须前置检查：电量、温度、网络质量（4G / 1.4GHz 自组网稳定性）、存储空间、是否在任务中、数据是否已上传。这是产品需求，不能靠工程师自觉——否则客户备勤时看到"正在升级，请勿关机"，就是一次不可挽回的信任损失。
- 升级影响使用时长必须提前告知。 美的 IoT 开发者文档的做法很专业：创建固件版本时必须录入该版本升级影响用户使用的时间（单分区全程不可用；双分区仅重启十几秒；压缩类固件解压导致重启更久），以便 App 给用户准确预期。这个字段，就是"把工程语言翻译成客户预期"的标准示范。
- EOL 政策是产品需求，不是法务补丁。 真实案例：有用户 Mavic Air 在一次固件更新后变砖，厂商回复该机型已到服务终止阶段，无法维修或回滚、也无法解锁 IMU，只能换新。固件"不可回滚"+"停更不告知"，本质是把风险转嫁给客户。反过来说："承诺安全更新年限 + 停更前最后一次升级通知 + 停更后明确服务路径"是可写进标书的能力，也是竞品抄不来的信任资产。
四、灰度发布：把"爆炸半径"当成一条产品指标
| 机制 | 现成范例（真实平台规则） | 成至可用在哪 |
|---|---|---|
| 灰度维度 | 涂鸦支持按百分比、地区、固件版本灰度；希沃物联支持按省、市分组灰度 | 按警种/客户单位/机型批次灰度（某市警航先升，观察一周再推全省） |
| 正式 vs 灰度 | 希沃明确区分"正式发布=目标为全部设备"与"灰度发布" | 内部"试点局 → 推广"两段式节奏 |
| 关键/强制版本 | 涂鸦区分"关键版本（必须升级）"与"可跳过"；米家"强制升级版本"设定后低版本无法正常使用 | 合规类升级（RID/实名激活，见 09-20）必须做成关键版本 |
| 升级任务与定时 | 云端批量升级、定时推送、设备轮询（Poll）与云端推送（Push） | 升级任务排到夜间/非任务时段 |
PM 要定义四样东西（可直接抄进发布流程）：
- 灰度阶梯：1%→5%→20%→50%→100%，每级设最短观察窗口（24~72 小时）。
- 熔断线：升级失败率、回滚率、升级后异常上报率阈值，超过即自动暂停全量，并写清"谁在多少分钟内决定继续/暂停/回退"。
- 可观测信号：设备必须上报 `当前版本`、`已下载待升级版本`、`启动次数 bootcount`、`最近失败原因 last-fail-reason`。没有这些字段，灰度就是盲推。
- 发布窗口：避开客户任务高峰。警用尤其注意——重大安保期、节假日、大型活动期间不做非必要升级；政企升级常需甲方审批与停机窗口，要提前写进运维方案/SLA（接 09-21 报价行⑤）。
五、回滚：没有回滚能力，就不要升级
工程实践最扎心的一条：大多数 OTA 失败不是因为一个大问题，而是一打小问题同时漏过——写入中掉电、证书过期、测试矩阵漏掉的边缘硬件组合。而"没有自动回滚"是这类事故里最高频的根因。
可直接做技术协议条款的清单（综合 Memfault 嵌入式 OTA 检查表与工程实践）：
- 签名与校验必须在 bootloader 层，不能只放应用层（"把加密只放在应用里"是明确列出的常见错误）。
- 回滚路径必须在接近生产条件下被真实测试过，而不是纸面上存在。
- 掉电（brownout）测试必做——无人机还有"电池被换走/被拔掉"这类现场场景。
- 保留备用升级通道：U 盘/SD 卡离线包、有线升级（DJI Assistant 2、Dock 的远程调试模式）、必要时售后换件。
- 注意"看起来无关"的配置：option bytes、设备树变更都可能改变启动时间从而错过心跳窗口——实验室永不出现，现场一出现就是"设备集体离线"。
- 别把 OTA 当成"就是一个 URL"（原文：Treating OTA as "just a URL" instead of a signed workflow）。
对成至的一条硬建议：RID 类"拆下即失效"的合规模块（09-20 讲过：拆后留痕、立即失效并与机身解绑、实时报送 UOM），其固件升级要走比普通固件更保守的路径——先离线小批验证再远程灰度，因为这类升级一旦失败，代价不是"不好用"，而是"整机不能飞"。
六、合规层面：固件升级能力已经变成"准入资质"
无人机侧：
- GB 46761—2025《实名登记和激活要求》 明确规定：无人机系统需具备实名登记校验、激活控制、固件更新等功能——"能升级固件"本身被写进强制标准。
- GB 46750—2025《运行识别规范》 的存量机处置路径，本身就是一道"固件能力"分流题：能固件升级的→厂家发升级包，用户升级即合规；不能升级的→厂家必须在 2026-11-01 前公布并完成加装运行识别模块方案；既不能升级也不能加装的→无合规路径，到期禁飞。
- 大疆的应对是标准的企业级打法：2026 年 4 月先公布配套合规服务方案，再对受硬件限制的早期机型推出"焕新"服务——旧机寄回核验后获专属焕新券，在官方商城换购合规新机，旧机统一数据清除与环保回收。（"能不能通过固件解决"，直接决定一个机型是"服务升级"还是"换机"两种商业结局。）
汽车侧（刚发生的监管拐点）：
- GB/T 48140—2026《汽车软件质量与缺陷管理规范》，2026 年 9 月 14 日批准发布，12 月 1 日实施：PDCA + 风险前置覆盖软件全生命周期，设五个关键过程评审节点（项目策划、需求分析、设计实现、软件集成、验证确认），建立分级风险评估，并对通过 OTA 实施软件缺陷召回作出专门规定——"推一版就完事"不再成立：只要构成缺陷、涉及安全，即便最终靠 OTA 修复，也必须走完整召回流程。
- 监管数据：2025 年我国实施汽车召回 190 次、684.6 万辆，其中 OTA 召回 13 次、175.6 万辆，占全年召回总数量的 25.7%（市场监管总局《关于2025年全国汽车和消费品召回情况的通告》）。另据艾拉比统计，2025 年上半年国内 OTA 累计推送版本 264 个、覆盖 60 个品牌、183 款车型。
- 2025 年 2 月工信部、市场监管总局联合印发《关于进一步加强智能网联汽车产品准入、召回及软件在线升级管理的通知》，要求规范 OTA 活动、分类管理、建立 OTA 备案信息共享机制。
PM 的三条结论：
- "能不能远程升级"要在立项时就定，并换算成硬件预算（存储容量、双分区、通信模组、安全芯片）。事后补是最昂贵的设计变更（回顾 09-19 的 1:10:100 曲线）。
- 固件缺陷要有分级与处置流程，且能区分"功能更新"与"缺陷修复"——后者在很多领域已进入召回/备案口径。固件发布记录（Release Note + 已知问题清单）就是你的举证材料。
- "先上市、后靠 OTA 补"的口子正在关闭（汽车领域的表述是"拒绝半成品车"）。政企同样成立：交付时的完成度底线要提前与内部定死，否则客户的第一次体验就是一次升级。
七、落到成至：本周可以动手的五件事
- 拉一张《固件与版本兼容矩阵》：云平台 2.0、机巢（舱体控制/充换电）、机体、载荷（1.4GHz 自组网/水域成像/全景/RFID）、遥控台、中继站的当前版本各填一遍——大概率立刻能看到几台"版本漂移"设备，这就是你第一个可交付成果。
- 把"升级条件前置检查"写成 PRD 硬需求（电量/温度/网络/存储/是否在任务/数据是否已上传）并规定失败文案与恢复引导。这一条能挡掉 80% 的现场投诉。
- 定义灰度与熔断线：1%→5%→20%→100% + 失败率阈值 + 自动中止 + 避开警用任务期，写成一页《固件发布管理规定》，研发/售后/客户成功三方签字。
- 把"回滚能力"写进模块选型技术协议（bootloader 双分区、签名校验、离线包通道、有线升级口）——这是采购谈判里最便宜、又最容易被省掉的一条。
- 为存量机型出一份"固件服务政策"：安全更新年限、停更前最后通知、停更后服务路径（含 2026-11-01 前的加装方案）。它同时是三样东西：客户的信心、投标的加分项、可收费的服务产品。
八、五个坑（按踩过的人多少排序）
- 认为"OTA 是软件团队的事"。 升级能力的上限在硬件设计阶段就被决定（存储、分区、通信、安全芯片）。量产后再问"能不能远程升级"，答案常是"能，但要换板"。
- 只发"最新版本"，不管"兼容组合"。 一台机巢十几个固件，任何一个不匹配都表现为"说不清的故障"。没有兼容矩阵的厂家，售后成本一定高于友商。
- 没有回滚就敢全量推。 一次失败的全量推送，代价是几十上百台设备同时失联——警用场景里等于一次事故。
- 把升级做成"突然袭击"。 客户备勤时被强制升级、或升级影响使用时长却零提示——技术成功、体验失败，最冤的一种差评。
- 不留版本记录，不做升级后验证。 升级完成不等于升级成功：要有升级后功能自检、异常上报、以及能回答"这台设备现在是哪个版本、什么时候升的、为什么升"的台账（接 09-19：ECN 管变更，固件台账管"变更后现场到底变成了什么样"）。
💡 知识速览（每条 1-2 分钟）
- 差分 vs 全量怎么选。 差分：包小省流量存储，但恢复成新固件更慢、需更多内存，依赖设备当前版本；全量：包大但不依赖当前版本、可升到任意版本、更快。常见组合是"最小系统升级"（差分+全量结合，专用于 Flash 放不下整包的设备，代价是多次自动重启）。判据：机巢这类长期在线、网络稳定的设备优先差分；离线/弱网老机型必须保留全量包与离线通道（"当前版本未知或被改过"的情况一定存在）。
- 设备必须上报的四个字段，是灰度发布的眼睛。 `当前版本` / `已下载待升级版本` / `bootcount` / `last-fail-reason`，版本号建议带硬件限定符（`app-2.7.1+hwA` vs `+hwB`）。这四个字段就是你的"升级健康度仪表盘"——没有它，灰度等于闭眼开车。
- "升级影响使用时长"要作为结构化字段录入并在 App 展示。 美的 IoT 的要求：创建固件版本时须按实测结果录入升级影响用户使用的时间，分单分区电控（全程不可用）、双分区电控（仅重启十几秒）、压缩类固件（解压导致重启更长）。极小一个字段，却把"工程师的时间数字"变成"客户的体验预期"——这就是 PM 该干的事。
- OTA 安全：加密与签名不是可选项，位置更重要。 工程师社区四条核心实践：全部加密（固件是知识产权，不加密等于把设计稿贴墙上）、签名放 bootloader 层、升级通道防中间人（MITM）、按关键系统设计 OTA。无人机还有额外维度：固件是飞控权限的入口，一旦被篡改，就是安全事件的起点。
- "工厂烧最小固件 + 首次启动推生产镜像"：OTA 反向给制造与供应链的收益。 出厂只烧最小功能固件并完成校准数据与密钥的安全注入，首次启动再推生产镜像。三个好处：产线烧录时间缩短、可更早出货（不必等最终固件冻结）、校准与密钥在生产环节就落到设备里。对应 09-17 的 NPI——排产时把"固件冻结时间"与"产线烧录时间"分开算，是硬件 PM 的隐形杠杆。
📌 今日金句
"现代设备永远不会完成（A modern device is never finished）。用户期待安装日之后的修复与功能，监管要求安全补丁，产品团队推动快速改进。这一现实，让固件空中升级成为一等需求，而不是事后补上的一环。"
（意译自嵌入式 OTA 架构工程实践文章开篇论述——它恰好说明了这个主题为什么值得单列一期）
给你的动作建议：本周抽两个小时，只做一件事——打开你负责的产品/项目设备台账，把"当前固件版本"这一列补全。补不全的那几台，就是你下一步最该关心的机器：你不知道它们现在跑着什么，也就无法承诺它们明天还能飞。 然后顺手做第二件事：把第七节五件事念给研发负责人听一遍，看哪一件他的反应是"这个还要 PM 管？"——那件就是你的机会。
（取材来源：DJI 官方《大疆机场3 作业流程》操作手册与《DJI Dock 3 / Matrice 4D 系列发布记录》、DJI 支持《无人机固件升级操作指南》《航拍无人机电池固件升级失败》《消费级无人机硬件升级服务方案说明》及网易"航拍网"转载文章、Reddit r/dji 用户案例与 DJI 论坛支持回复、百度智能云《深度解析：Android 系统 OTA 升级全流程与关键技术》、涂鸦智能《固件升级（OTA）》产品页与开发者平台文档、米家 IoT 文档《固件配置》、美的 IoT 开发者平台《固件OTA配置与发布》、希沃物联平台《OTA 升级》、Quectel QuecPython《固件 OTA 升级》与阿里云开发者社区《AliOS Things 3.0 差分升级》、ThingsCloud 固件 OTA 文章、Memfault《OTA Update Checklist for Embedded Devices》、Arshon《Firmware over-the-air (OTA) updates: design patterns, pitfalls, and a playbook you can ship》、Jacob Beningo 技术帖（OTA 四条安全实践）、GB 46761—2025 / GB 46750—2025、新华社《经济参考报》与腾讯云开发者社区关于两项无人机强制标准的报道、市场监管总局（国家标准委）2026-09-14 发布的 GB/T 48140—2026《汽车软件质量与缺陷管理规范》及凤凰网/东方财富/搜狐报道、市场监管总局《关于2025年全国汽车和消费品召回情况的通告》、艾拉比 2025 上半年 OTA 统计数据、工信部与市场监管总局 2025-02 智能网联汽车准入与 OTA 管理通知。注：本机 `curl` 直连 Google 仍被网络策略拦截（0 字节），已改用备用检索通道，数据来源可查。）
To stop or manage this job, send me a new message (e.g. "stop reminder 智能硬件产品经理学习").