Durante el fin de semana, una actualización de software dejó inutilizables algunos vehículos híbridos Jeep 4xe

• Algunos dueños de Jeep Wrangler 4xe híbridos experimentaron que sus vehículos se detenían debido a una actualización de software OTA realizada durante el fin de semana
• La actualización correspondía a la telemática del sistema de infoentretenimiento Uconnect y se desplegó sin estar lista
• El problema no aparecía justo después de actualizar, sino que derivaba en una situación grave en la que el vehículo se detenía por un error del tren motriz mientras estaba en marcha
• Jeep suspendió el despliegue de la actualización tras recibir reportes del problema, pero ya se había descargado en varios vehículos
• Después, Jeep lanzó un parche de corrección y recomendó a los dueños que aún no la habían instalado que la ignoraran

---

Problema con la actualización OTA de software en vehículos híbridos Jeep 4xe

Resumen del incidente

• Algunos dueños de Jeep Wrangler 4xe experimentaron que sus vehículos se detenían repentinamente mientras circulaban después de instalar una actualización de software OTA durante el fin de semana
• Este problema ocurrió porque se distribuyó una actualización telemática del sistema de infoentretenimiento Uconnect sin estar completamente preparada

Cómo se producía el problema

• El fallo no se manifestaba de inmediato, sino que después de la actualización llevaba a pérdida de potencia mientras se conducía y a la detención del vehículo
• Algunos dueños lo vivieron en zonas residenciales o a baja velocidad, pero también se registraron casos de fallo del tren motriz mientras se circulaba por carretera

Respuesta y medidas

• Jeep detuvo la distribución de la actualización tras los reportes del problema, aunque muchos vehículos ya la habían descargado
• El equipo social de Stellantis informó en un foro de Jeep que los dueños que aún no la habían instalado debían ignorar la ventana emergente de actualización

Recomendación temporal

• A los dueños que ya instalaron la actualización pero aún no han sufrido fallas, se les recomendó evitar usar el modo híbrido o el modo eléctrico
• Como medida posterior, Jeep distribuyó de urgencia un parche de corrección (actualización correctiva)

Contexto y lección

• Al igual que el caso de Crowdstrike del año pasado, esto subraya que una actualización de software un viernes por la tarde puede convertirse en un problema a gran escala
• Con este incidente, Stellantis también terminó aprendiendo la importancia del momento del despliegue y de las pruebas previas
• Por ahora no hay una respuesta oficial de Stellantis; se actualizará cuando haya más novedades

[GN⁺]

Opiniones en Hacker News

• Mi 4xe quedó varado frente a mi casa después de la actualización de software del sábado; quiero explicar, desde la perspectiva de un dueño de un 4xe, lo terrible que fue la respuesta de Jeep/Stellantis
  • Hasta las 8 a. m. del lunes no hubo ninguna comunicación ni reconocimiento por parte de cuentas oficiales relacionadas con Jeep ni de la empresa
  • Me enteré del problema buscando en grupos de Jeep en Facebook si había gente con el mismo síntoma
  • La información más “oficial” apenas fue una publicación de la cuenta ‘JeepCares’, manejada por Jeep, en un foro off-road, y hasta las indicaciones de esa cuenta se contradecían. Primero decían que la actualización de Uconnect y la actualización telemática eran cosas separadas, y luego aconsejaron posponer la actualización de Uconnect, como si ambas estuvieran conectadas
  • Debido a la falta de información por parte de Jeep, la gente dependía de toda clase de rumores, como que “si reinicias Uconnect en cierto modo, se apaga la luz de check engine”. En efecto la molestia desaparecía, pero el problema de fondo no se resolvía
  • No hay manera de saber si recibiste la actualización defectuosa
  • Tampoco hay forma de saber si ya recibiste el parche
  • Los concesionarios tampoco saben absolutamente nada de la situación
  • Y, mientras escribo esto, sigo expuesto al riesgo de que el auto pierda potencia de repente en plena autopista y se detenga
  • Es realmente increíble que el sistema de potencia del vehículo, es decir, el motor, pueda apagarse mientras vas manejando en carretera. Según el artículo, esto sí ocurrió: en algunos casos fue cerca de casa y a baja velocidad, pero algunas personas afirman que el tren motriz falló mientras circulaban en la autopista. Es un problema verdaderamente impactante
  • Es una locura que algo así esté pasando en la vida real. Hace unos años, durante una due diligence de inversión en la industria automotriz, señalé que antes de una actualización había que verificar obligatoriamente que el vehículo estuviera detenido y el motor apagado. Recuerdo que a todos les parecía curiosa mi observación, en vez de ver que una situación así podía terminar en problemas
  • Esto suena al caso clásico de un equipo que no llegó a la fecha original, fue pateando el trabajo una y otra vez y al final liberó código a la fuerza cuando ya nadie podía hacerse responsable porque todos tenían planes de vacaciones. Con la presión del tiempo y el sesgo de confirmación, empujaron código aun cuando había señales de que algo andaba mal, y ahora parece que los responsables clave están en un avión, incomunicados o de vacaciones sin laptop, así que no pueden responder
  • Me pregunto cómo validaron que una actualización de software pudiera ejecutarse mientras el vehículo estaba en movimiento y terminar en pérdida de potencia. Cuando trabajé en un proveedor automotriz en el pasado, había varias protecciones para evitar el riesgo de una actualización corrupta, y la más básica era que el ingreso a la sesión de programación UDS ya incluía condiciones de velocidad del vehículo o modo de conducción
• Hace poco trabajé en una gran empresa de iluminación para el hogar, desarrollando el OS del router que se encarga de los focos y de la conexión a internet/usuario. Nuestra arquitectura OTAU usa actualizaciones A/B del sistema con dos boot slots (enlace de referencia). Con ese esquema, aunque la actualización falle, hay rollback automático a la versión anterior, así que nunca tuvimos un brick. Y estamos hablando de un electrodoméstico de menos de 100 dólares. Por eso cuesta no sospechar que la ausencia de una protección así en una SUV de 50 o 60 mil dólares sea por recorte de costos. Incluso duplicar la capacidad NAND en un vehículo de ese nivel no debería representar ni el 0.5% del costo total. Si de verdad se tratara de corrupción del boot slot, lo entendería, pero decepciona ver lo poco que parecen cuidar el código que distribuyen las automotrices
  • Como alguien con experiencia tanto en luces IoT como en autos, puedo comparar ambas industrias. No intento defenderlas. Los grandes fabricantes también son extremadamente sensibles a la optimización de costos, y no creo que este problema sea de boot slots. Lo normal es que la mayor parte del software automotriz esté diseñado para impedir actualizaciones mientras el vehículo está en movimiento. Lo de esta vez parece haber sido un bug grave en el firmware nuevo. También se critica que la industria automotriz en general está tocando fondo, pero Stellantis en particular no es precisamente una empresa conocida por pagar sueldos tope
  • Los dispositivos Android —incluidos muchos vehículos que adoptaron esto— también usan particiones A/B para reducir el riesgo de brick. Pero ni siquiera ese enfoque elimina completamente el riesgo. Si hay lógica compleja y además se deben actualizar varios dispositivos hijos al mismo tiempo, terminan acoplándose 2*N particiones, y en cada checkpoint puede haber fallas. Normalmente, si el checkpoint de “todo está bien” se marca demasiado pronto, puedes entrar a un estado ya irrecuperable incluso cuando servicios esenciales fallan
  • En un dispositivo de 50 o 60 mil dólares como un auto, un costo de 0.5% también pesa bastante. Por ejemplo, si el margen operativo de Ford es 2%, un aumento de costo de 0.5% por vehículo se come 25% de ese margen. Los autos tienen volúmenes anuales relativamente menores y requisitos de chips estrictos, así que el costo de componentes tiende a ser alto. Además, A/B tampoco es una solución total; si se configura mal, puede terminar en un loop infinito
  • He escuchado que en la industria automotriz pueden ponerse extremadamente sensibles incluso por menos de $5 por unidad. Puede que A/B ni siquiera haya entrado en la especificación, o que el tamaño del OTA creciera hasta chocar con el límite de capacidad. Para hacerlo más seguro, algunos usan A/B/A (donde B es un OS liviano), pero en la práctica eso suele ser difícil por falta de tiempo de desarrollo
  • Hay lugares que usan A/B incluso en dispositivos de $100; por eso es más probable que este problema sea de prioridades y capacidades, no de recorte de costos. Tal vez las protecciones de seguridad para actualizaciones quedaron fuera de la especificación y luego, entre la presión del calendario y la evasión de responsabilidades, terminó ocurriendo un incidente así. De hecho, en este caso no fue un brick, sino un bug crítico mientras el vehículo estaba en movimiento
• Renté una Jeep Wagoneer y la electrónica era tan desastrosa que algo así ni siquiera me sorprende. El segundo día, la compuerta trasera dejó de cerrar y apareció un mensaje de error en el tablero, y el bloqueo electrónico simplemente dejó de funcionar. Busqué y encontré a mucha gente con el mismo problema, a quienes les decían que había que hacer una actualización de software; tampoco había forma de liberarla manualmente. Como había una sucursal de la arrendadora cerca, cambié el vehículo, pero aun así después seguí sufriendo varios problemas
  • Si cargabas un Steam Deck con su cargador desde los asientos traseros, todo el tablero, incluido el sistema de infoentretenimiento, se apagaba y volvía a encenderse repetidamente
  • El asiento del conductor bajaba para facilitar la salida, pero luego no regresaba automáticamente a su posición, así que cada vez quedaba más atrás
  • Aparecía una advertencia de error del latch trasero que no se podía desactivar, aunque el latch estaba bien
  • La luz del TPMS se encendía y apagaba todo el tiempo (mala señal)
  • Aparecían errores aleatorios relacionados con el cruise control
  • El freno de estacionamiento electrónico se activaba solo al hacer una parada momentánea dentro de un estacionamiento
  • El aire acondicionado funcionaba raro: a veces el interior quedaba caliente o el A/C no funcionaba
  • Hay muchísima gente en línea con problemas parecidos o peores. Cuesta creer que un vehículo nuevo de $80,000 tenga este nivel de fallas
  • En un viaje familiar reciente cambiamos hasta cuatro Grand Wagoneer, y cada una tenía un problema crítico distinto
  • Jeep y Stellantis/Dodge son gravemente deficientes en control de calidad y en diseño eléctrico/electrónico. Tienen comunidades de fans muy activas, pero también una tendencia a embellecer fallas frecuentes. Comprar uno de estos vehículos es perjudicarse a uno mismo
• Actualizar por OTA componentes críticos como la ECU es un riesgo realmente difícil de justificar. Si de verdad fuera inevitable, al menos debería hacerse en el concesionario con un profesional listo para hacer rollback. Los fabricantes han empezado a poner en riesgo la seguridad del consumidor por querer automatizarlo todo y ganar dinero con servicios por suscripción, y por cosas como esta los entusiastas de autos como yo preferimos vehículos más antiguos
• Este incidente ocurre menos de dos semanas después de que Stellantis obligara recientemente un workflow de ingeniería con 'vibe coding' (noticia relacionada)
  • Pero para que pudiera empujarse por OTA a una flota real, el código tendría que haberse escrito al menos bastante antes de esas dos semanas
• Llevo unos meses manejando un Jeep, y la comunidad está totalmente enfocada en los mods, pero me molesta que el OS sea cerrado y desarrollado por SiriusXM. El Jeep Wrangler sería precisamente el vehículo ideal para estar optimizado para open source
  • Tampoco es que en las modificaciones del Wrangler no haya actividad de hacking de software. Incluso hay ejemplos de productos comercializados basados en lo que se presentó en este foro relacionado. Eso sí, todavía no he visto que realmente hayan logrado abrir bien el firmware de la head unit
  • ¿No era Jeep la empresa que metió un sistema publicitario en el infoentretenimiento para mostrar anuncios emergentes cuando estabas detenido en un semáforo? No creo que el fabricante quiera un OS open source que permita saltarse esos anuncios
• No entiendo por qué una actualización OTA puede brickear todo el vehículo. Uno pensaría que el sistema de infoentretenimiento y el sistema de conducción deberían estar completamente separados
  • Esa conclusión parte de asumir que esto era solo un OTA del infoentretenimiento. En realidad, es un OTA de todo el vehículo. Puede tocar infoentretenimiento, ECU, ECM, TCM y BCM, y como hasta los recalls importantes se resuelven por OTA, tampoco es posible bloquear las actualizaciones de sistemas críticos. A 2025, la mayoría de los fabricantes ya tienen estas capacidades OTA
  • La causa de fondo de estos problemas es el recorte de costos. Tanto el tablero como el infoentretenimiento reemplazan componentes analógicos por monitores, porque es más barato producir así. Y el software también termina pegado de un lado a otro bajo la consigna de “no reescribir nada, solo reutilizar”, así que las pruebas de integración inevitablemente salen débiles. En la era de los EV, cada motor controller tiene su propio software, y OTA puede sobrescribir hasta eso. Tal vez solo Toyota, por su experiencia acumulada, ha tenido menos problemas
  • Como la información cotidiana —por ejemplo, silenciar la música mientras operan los sensores de estacionamiento, mostrar combustible o batería restante, etc.— también hace que el sistema de conducción y el infoentretenimiento interactúen, una separación total es imposible
  • A mí una vez se me brickeó el infoentretenimiento de una Tahoe por una actualización OTA. Después de eso la cámara de reversa dejó de funcionar por completo, y ni siquiera sonaban las direccionales, así que terminé gastando casi $2,000 entre grúa y reparación, y ni siquiera lo cubrió la garantía. Desde entonces decidí desactivar todas las actualizaciones
  • Tesla sentó el precedente de este tipo de OTA integrados, y desde entonces la mayoría de los fabricantes ha seguido un camino parecido. Volvo también ha tenido problemas similares
• No entiendo por qué los sistemas de infoentretenimiento les causan tantos problemas a tantos ingenieros. En el caso del Mazda 3 (2018), incluso hubo demanda colectiva. Después de años funcionando normal, de repente el menú respondía al azar, se presionaban botones solos y el problema desaparecía por días o meses para luego volver. Al final había que desconectar todos los dispositivos y manejar escuchando solo la radio
  • Esto pasa porque, desde la raíz, no hay integración vertical: hay más de 20,000 ECU separadas por función, y cada una se encarga a subcontratistas exprimidos al máximo para recortar costos hasta el límite. Y además está el hecho de que los fabricantes “tradicionales” y los proveedores Tier 1 casi no le prestan atención a adoptar innovación real en software
  • Hace poco conecté un teléfono Android por Bluetooth a un Mercedes y, aun siendo una marca “de lujo”, encontré cinco bugs de GUI solo en la etapa de configuración. Y el vehículo en general estaba bien terminado, pero la calidad del software es claramente una cuestión de voluntad. (Por cierto, las UI de set-top boxes también suelen ser absurdamente lentas para el hardware que tienen)
  • Este problema se explica simplemente por outsourcing y recorte de costos. Sin integración vertical, se lo encargan al proveedor externo más barato
  • Trabajé antes en una empresa que desarrollaba software de infoentretenimiento, y esos sistemas eran la máxima expresión del ahorro extremo: RAM mínima, CPU mínima, pantallas mediocres; incluso en vehículos de gama alta era así. Desde hace mucho tiempo los radios de auto han sido un símbolo del recorte de costos
  • A diferencia del mundo de los teléfonos, donde sale un producto nuevo cada año, en los autos un mismo dispositivo tiene que mantenerse por más de diez años y además debe garantizar un funcionamiento consistente con el mínimo personal posible
• No recuerdo haber oído casos grandes de vehículos Tesla completamente brickeados por una actualización OTA (o sea, verdaderamente convertidos en un ladrillo inmóvil). Tengo entendido que Tesla está diseñado con una estructura de dual BIOS, parecida a la dual BIOS de un motherboard
  • Llevo más de diez años siguiendo comunidades sobre Tesla y nunca he visto un caso de brick por OTA. Lo más común es que la gente se moleste porque la actualización justo empieza cuando necesitan salir corriendo
  • Tesla hace muchísimo HIL testing, y su enfoque de pruebas en general se parece más al de una empresa de software que al de un fabricante automotriz
  • En realidad, si uno busca en Google, sí existen algunos casos de Tesla brickeados por OTA. Caso relacionado
• Enlace de referencia a la discusión del fin de semana