4. 升级包分发架构
系统边界与分层
升级包分发架构位于OTA系统的传输层，负责将云端的升级包可靠、高效地送达目标设备。系统边界从升级包仓库开始，经过分发网络，到设备本地存储结束。整体分为三层：
- 调度层：根据设备地理位置、网络条件、任务优先级，决策分发路径（CDN、P2P或混合）。
- 传输层：提供CDN加速、P2P对等传输、断点续传能力，保证数据完整到达。
- 校验层：在分片级别和包级别进行哈希校验，防止数据损坏或篡改。
组件职责与数据流
| 组件 | 职责 | 输入/输出 |
|---|---|---|
| CDN 节点 | 缓存升级包分片，就近响应设备请求 | 输入：分片请求；输出：缓存分片 |
| P2P 协调中心 | 维护对等节点列表，协助设备发现邻居 | 输入：节点注册/心跳；输出：邻居列表 |
| 断点续传模块 | 记录已下载的分片偏移，异常恢复后重传未完成部分 | 输入：分片序号 & 偏移；输出：续传指令 |
| 校验模块 | 计算分片 SHA256 并与清单比对 | 输入：原始数据；输出：校验结果（通过/失败） |
数据流概要：升级包仓库 → 切分器 → CDN预热+P2P种子分发 → 设备通过调度层获取最佳来源 → 下载过程由断点续传模块记录进度 → 每分片下载完毕立即校验 → 全部校验通过后组装并触发安装。
场景-策略映射矩阵
| 场景 | 优先级 | 推荐策略 | 关键配置 |
|---|---|---|---|
| 全量推送（百万级设备） | 高并发 | CDN + P2P混合，CDN承担首波，P2P降低源站压力 | CDN节点分布≥3个区域，P2P群组大小500 |
| 差量升级（包体较小） | 快速分发 | 纯CDN，免去P2P握手延迟 | CDN TTL 设为 1h，预热提前30min |
| 弱网环境（2G/卫星） | 可靠性 | 强制断点续传 + 分片校验，关闭P2P | 分片大小128KB，重试间隔30s，超时重传3次 |
| 车队紧急修复（定向几十台） | 低延迟 | 直接从CDN拉取，不启用P2P | CDN私有节点直连，分片校验但不强制续传 |
选型权衡
| 维度 | CDN 优势 | P2P 优势 | 混合方案注意点 |
|---|---|---|---|
| 带宽成本 | 按流量计费，高并发成本线性 | 利用设备上行，降低CDN出口 | 需P2P协调中心成本，但整体可压降30%~50% |
| 部署复杂度 | 简单，购买CDN服务即可 | 需实现DHT或Tracker模块 | 两套逻辑并存，需统一调度 |
| 安全与合规 | 可管控节点，支持HTTPS | 设备间直传，需加密 + 签名 | 混合时需统一加密策略，防止P2P泄露 |
| 弱网适应性 | 依赖CDN边缘，部分区域无节点 | 设备互为中继，可提升弱网成功率 | 弱网下优先P2P + 断点续传 |
风险点与应对
- CDN热点雪崩：同一时段大量设备请求同一分片 → 增加CDN节点缓存层次，至少设置两级缓存（L1边缘、L2区域）。
- P2P内网穿透失败：NAT类型不兼容 → 回退至CDN下载，并在P2P协调中增加STUN/TURN。
- 校验失败导致回滚：网络传输或分片损坏 → 设置分片级重试上限（3次），若仍失败则放弃该节点并从CDN重新下载。
- 断点续传状态丢失：设备存储异常 → 每次写入进度文件前先写校验值，恢复时校验。
落地步骤
- 搭建CDN：选择覆盖目标区域的CDN服务（如AWS CloudFront / 阿里云CDN），配置3个及以上区域节点，预热关键包。
- 实现P2P协调中心：基于WebSocket或MQTT维护节点在线列表，设计群组策略（按固件版本、地理区域分组）。
- 集成断点续传模块：在设备端下载器内记录已接收分片序号和偏移，支持RESUME命令；在服务端提供HTTP Range头支持。
- 嵌入校验机制：生成升级包清单（JSON格式，含每个分片SHA256和整体校验码），下发时先下发清单，下载后逐分片校验。
- 混合调度逻辑：设备启动时先尝试P2P获取邻居，若5秒内未收到邻居响应 → 切换到CDN；下载过程中若P2P速度低于阈值且CDN可用 → 切换。
- 灰度验证：先推5%设备，监控CDN带宽、P2P成功率、断点续传触发率、校验失败率，调整参数后全量。
验收标准
| 指标 | 最低要求 | 目标值 | 测试方法 |
|---|---|---|---|
| CDN首字节时间 | <500ms | <200ms | 模拟100台设备并发拉取 |
| P2P传输占比 | >30% | >50% | 全量推送后统计 |
| 断点续传恢复成功率 | 99% | 99.9% | 切断网络后重连100次 |
| 分片校验失败率 | <0.1% | <0.01% | 模拟10万次下载 |
建议：先验证CDN + 断点续传 + 校验的基础能力，再逐步引入P2P。P2P在车联网场景中需特别注意设备NAT类型和上行带宽限制。
配置示例（调度策略 YAML）
distribution:
regions:
- name: china-east
cdn: cn-east-edge
p2p: enabled
p2p_group_size: 500
fallback: cdn-only
- name: europe
cdn: eu-ireland
p2p: disabled # 欧洲法规限制
thresholds:
p2p_min_speed_kbps: 200
p2p_max_latency_ms: 200
retry_max_count: 3
checksum:
algorithm: SHA256
verify_each_chunk: true
manifest_url: "https://ota.example.com/manifest/v1/{package_id}.json"
注意：P2P 在车联网场景中必须附加设备认证和分片加密，防止中间人篡改或注入恶意数据。建议使用DTLS或预共享密钥保护对等连接。