3. 农业设备硬件与资源约束评估
OTA远程升级能否在农业设备上真正落地，往往不取决于云端平台有多强，而取决于终端设备“装不装得下、跑不跑得动、断不断得了、扛不扛得住”。农机、温室控制器、灌溉阀门、畜禽环境监测终端等设备，普遍存在主控算力低、Flash与RAM紧张、通信链路不稳定、供电波动大、工作环境恶劣等特点。因此在设计升级方案之前，必须先为目标设备建立一份资源画像：把MCU/MPU型号、存储分区、通信模组能力、电源与看门狗机制、防护等级与温度范围等关键约束量化清楚，作为后续升级包大小、差分策略、断点续传、回滚机制与升级窗口选择的依据。
一、主控选型：先判断“能不能升级”，再谈“怎么升级”
主控是资源画像的第一层。农业设备常见两类平台：一类是MCU（如STM32F1/F4、GD32、NXP LPC系列），运行裸机或RTOS，Flash通常在64KB～1MB，RAM在8KB～256KB；另一类是MPU（如i.MX6ULL、全志、瑞芯微等），运行Linux，具备外部eMMC/Flash与较大内存。二者对OTA的要求截然不同。
对MCU设备，核心约束是Flash能否容纳双分区或至少一个备份区。以某温室控制器为例：主控STM32F407，Flash 1MB，RAM 192KB，当前应用固件约420KB。若采用A/B双分区，需要2×420KB≈840KB，加上Bootloader约32KB与参数区16KB，总计约888KB，尚在1MB以内，可行；若固件增长到520KB，双分区将超出容量，此时应改用“外部SPI Flash暂存+原地覆盖”或差分升级。对MPU设备，重点则转向根文件系统大小、分区表布局、eMMC剩余空间与启动引导方式（U-Boot环境变量、A/B槽切换）。
选型评估时应记录：主控型号、内核架构、主频、Flash容量与擦除粒度、RAM容量、是否支持从备份区启动、Bootloader是否可定制。这些字段直接决定升级方案的上限。
二、Flash与RAM分区：把“升级空间”提前规划出来
分区是资源画像中最容易被忽视、却最容易在升级时“翻车”的部分。建议在设备设计阶段就固定分区表，并在OTA方案中复用。以MCU为例，典型布局为：Bootloader区（含升级标志与校验逻辑）、应用A区、应用B区（或下载暂存区）、参数/配置区、日志与升级状态区。关键点有三：其一，Bootloader必须独立且不被升级覆盖，否则设备变砖；其二，升级标志、版本号、CRC校验值要存放在掉电不易丢失的区域，并做双备份；其三，RAM要预留升级缓冲区，若采用分块接收，缓冲区大小需与通信模组单包能力和Flash页大小匹配。
例如某灌溉控制器RAM仅20KB，若通信模组单次可收1KB数据，则设置2KB接收缓冲+1KB校验缓冲即可，剩余留给RTOS任务；若强行申请8KB缓冲，会导致任务栈不足、看门狗误触发。因此RAM分区不是“越大越好”，而是要与任务调度、协议栈开销一起核算。
三、通信模组能力：决定升级包怎么传、传多久
农业设备常用4G Cat.1、NB-IoT、LoRa、Wi-Fi或RS485+网关等通信方式。资源画像中应明确：模组型号、支持频段、最大下行/上行速率、单包大小限制、是否支持断点续传、是否支持MQTT/HTTP/CoAP、信号强度与重连机制、流量成本。NB-IoT速率低、时延大，适合小差分包与低频升级；4G Cat.1速率较高，可支持数百KB至数MB固件；LoRa带宽极窄，通常只传升级指令与校验值，固件需经网关中转。
实际评估时可用“升级时长估算”辅助判断：若固件500KB、有效下行速率20KB/s、协议开销按20%计，则理论传输约30秒，但农田弱网环境下实际可能延长至3～5倍，需配合断点续传与分片校验。通信模组能力还影响升级窗口：NB-IoT设备宜选择夜间低功耗时段批量升级，避免影响白天作业。
四、电源与看门狗：升级过程最怕“半路断电”
农业现场供电条件复杂，市电波动、太阳能蓄电池亏电、发电机启停都会造成瞬时掉电。OTA升级中若在擦写Flash时断电，轻则升级失败，重则设备无法启动。因此资源画像必须记录：供电方式（市电/太阳能/电池）、额定电压与允许波动范围、是否具备掉电检测（BOR/PVD）、储能电容或备用电池容量、看门狗类型（独立看门狗IWDG/窗口看门狗WWDG）与喂狗周期。
工程上通常要求：升级前检测电压是否高于阈值（如12V系统高于10.8V）；擦写期间由Bootloader接管并延长看门狗超时；升级完成后先校验再切换启动区，校验失败自动回滚。看门狗喂狗点应放在升级状态机的关键节点，而不是简单定时喂狗，否则升级卡死时无法复位恢复。
五、防护等级与温度范围：决定升级窗口与器件可靠性
农业设备常标注IP65/IP67防护等级，工作温度范围常见-20℃～+60℃，部分户外设备要求-40℃～+70℃。温度不仅影响器件寿命，也影响Flash擦写可靠性与电池性能。低温下液晶显示迟滞、电池内阻增大，高温下模组可能降频保护。因此升级窗口应避开极端温度时段，并在升级前读取设备温度传感器值，超范围则推迟升级。
防护等级则关系到现场维护方式：IP67设备通常全密封，无外部调试口，升级只能依赖远程通道；IP65设备可能有可开启接线腔，允许现场USB升级作为兜底。资源画像中应注明是否支持本地升级接口、是否需要拆壳、密封件是否可重复使用。
六、把五项约束汇总成可执行的资源画像
资源画像不是罗列参数，而是形成结论。建议以一张“设备资源画像表”收口，字段包括：设备型号与主控、Flash/RAM容量与分区、通信模组与速率、供电与看门狗配置、防护与温度范围，以及由此推导出的最大可升级包大小、推荐升级方式（整包/差分/外部暂存）、断点续传能力、回滚触发条件、允许升级的时间窗口与风险等级。
例如前述温室控制器可形成如下结论：主控STM32F407、Flash 1MB、RAM 192KB，采用Bootloader+A/B双分区，单包上限约480KB；4G Cat.1模组支持HTTP分片与断点续传，弱网下按1KB分片、每片CRC校验；供电为24V市电+备用电池，升级前检测电压≥21.6V，擦写期间由Bootloader延长看门狗至30秒；防护IP65、工作温度-20℃～+60℃，升级窗口设为夜间且设备温度在-10℃～+50℃之间。这样的画像可以直接交给升级策略设计人员使用，也能在排障时快速定位“是空间不够、网络太差，还是电源不稳”。