一句话定义：OTA（Over-The-Air，空中升级）指厂商通过无线网络，把新软件、固件或配置推送到设备上并完成安装，用户不用把设备送回店里，也不用插线。
原理：把“刷机”变成“收快递”
过去给设备升级软件，得用数据线连电脑，或者让工程师插上诊断口刷写。OTA 把这件事拆成了“云端发货、车端签收”：厂商把升级包上传到服务器，车通过内置的联网模块下载，校验完整性后写入对应的芯片存储，最后重启生效。
车里并不是只有一台电脑。车窗、空调、电池管理、刹车、动力这些功能，分别由几十个电子控制单元（ECU）负责，它们通过车载网络连在一起。所以 OTA 也分两个层级：
| 类型 | 改什么 | 风险 |
|---|---|---|
| SOTA（Software OTA） | 车机界面、地图、娱乐 App 等应用层 | 低，出问题重装即可 |
| FOTA（Firmware OTA） | 控制器固件，如动力、电池、底盘标定 | 高，直接影响行车 |
打个比方：SOTA 像给手机换壁纸、装 App；FOTA 像给手机换系统内核，一旦失败，后果会严重得多。
为什么车能像手机一样更新
前提是车变成了“轮子上的分布式计算机”：有常联网模块、有可反复擦写的存储、有统一的软件平台。再加一个关键设计——双分区（A/B 分区）：新版本先写进闲置的那一半，写完校验通过才切换过去，失败就留在旧分区继续跑。没有这套设计，远程升级就是拿用户的车冒险。
一次失败会怎样
手机刷坏了，只是几百块钱的事；车刷坏了，就是几吨重的铁停在路上。常见的失败场景是：升级中途断电、升级包下载不完整、校验不严导致写入了坏固件，结果可能是车辆无法上电、仪表黑屏、动力受限，严重时车就“变砖”，得拖回服务站。还有一种更隐蔽的风险：功能逻辑改了，比如某项辅助驾驶的介入时机变了，用户按老习惯开，反而容易出事。
所以正规车厂做 FOTA 时都很谨慎：分批灰度推送、升级前检查电量与挡位、要求车辆静止、失败自动回滚、升级后监控异常上报。监管层面通常也要求升级前明确告知用户，并且不允许用“升级”来掩盖本该召回的安全缺陷。具体规定以官方页面为准。
和相邻概念的区别
和“线刷、刷机”的区别是：OTA 无需接触设备，可以远程进行、批量执行。和“云端更新”的区别是：后者改的是服务器上的逻辑，OTA 改的是用户手里那台设备上的代码。
对从业者和普通人的意义
对从业者来说，OTA 把“卖出去的车”变成了“可以持续迭代的产品”，也把软件责任延伸到了交付之后：发布流程、灰度策略、回滚方案、线上监控，一样都不能少。对普通人来说，收到升级提示时，尽量挑停车、电量充足、网络稳定的时段去做，别在赶时间的路上点“立即升级”；升级完先低速开一段，确认一切正常再正常使用。