4. 升级流程实现：升级触发机制、下载与校验、rootfs写入与原子性保证
好，咱们今天聊点实在的。升级流程，说白了就是一套「怎么让设备听话地更新自己」的机制。我做了这么多年嵌入式，见过太多升级到一半断电变砖的惨案。嗯，这一节咱们就把升级流程拆开揉碎了讲清楚。
4.1 升级触发机制：谁来决定该升级了？
触发升级的方式，我归纳下来无非三种：
- 手动触发：用户按个按钮，或者通过命令行敲一条指令。比如
fwupgrade --start。这种最直接，但依赖人。 - 定时检查：设备每隔一段时间去服务器问一句「有更新吗？」。我习惯用 cron 或者 systemd timer 来做，简单可靠。
- 事件驱动：比如服务器推送一条 MQTT 消息，或者设备检测到某个条件满足（比如网络空闲、电量充足）就自动触发。
我个人建议，生产环境至少保留两种触发方式。手动触发作为保底，自动触发作为常态。你想想看，万一自动升级出了问题，你总得有个手动干预的入口吧？
小技巧：触发条件里加一个「升级窗口期」。比如只允许凌晨2点到4点升级。我在项目中遇到过白天升级导致产线停摆的事，从那以后，窗口期就成了我的标配。
4.2 下载与校验：别让坏数据毁了你的系统
下载这一步，看似简单，坑却不少。我常用的下载方式有 HTTP、HTTPS、或者通过 OTA 服务器拉取。这里我重点说校验。
校验分两步走：
- 完整性校验：用 MD5 或 SHA256 对比文件哈希值。下载完先算一遍，跟服务器给的哈希值对一下。对不上？直接丢弃，重新下载。
- 签名校验：用公钥验证固件的数字签名。这一步是为了防止有人篡改固件。我见过有人只做 MD5 校验，结果被中间人攻击替换了固件——嗯，那场面挺尴尬的。
代码示例，我贴一段简单的校验逻辑：
// 伪代码：下载后校验
int verify_firmware(const char *path, const char *expected_hash) {
char actual_hash[65];
compute_sha256(path, actual_hash);
if (strcmp(actual_hash, expected_hash) != 0) {
return -1; // 校验失败
}
// 再验签名
if (!verify_signature(path)) {
return -2; // 签名无效
}
return 0; // 一切正常
}
注意：校验失败后，千万别直接重试。我建议先记录日志，然后进入降级模式。我曾经遇到过服务器端哈希表损坏，导致所有设备反复下载失败——白白浪费流量和带宽。
4.3 rootfs写入与原子性保证：最关键的临门一脚
写入 rootfs，是整个升级流程里风险最高的环节。为什么？因为一旦写入中途断电或崩溃，系统可能就起不来了。所以，原子性保证是核心。
我常用的方案有两种：
| 方案 | 原理 | 优点 | 缺点 |
|---|---|---|---|
| A/B 分区 | 两个 rootfs 分区，一个运行，一个写入。写入完成后切换启动标志。 | 原子性高，回滚方便 | 占用双倍存储空间 |
| overlayfs + 原子写 | 在 overlay 层写入，完成后通过 rename() 原子替换。 | 节省空间 | 实现复杂，回滚需要额外处理 |
我个人更倾向于 A/B 分区方案。虽然多占点空间，但胜在简单可靠。你想想看，嵌入式设备最怕什么？最怕升级变砖。A/B 分区至少能保证你还有一个能启动的老系统。
下面我画了一张流程图，帮你理清整个升级流程的核心逻辑：
这张图里，我特意把校验失败和写入失败的分支画出来了。你看，失败不可怕，可怕的是没有处理失败的能力。我在项目中就吃过这个亏——写入到一半断电，结果两个分区都坏了，最后只能拆机用烧录器救砖。
4.4 原子性保证的实战细节
原子性，说白了就是「要么全做，要么全不做」。在 rootfs 写入中，我常用的手段是：
- 先写完整，再切标志：先把整个 rootfs 写入备用分区，全部写完后，再通过一个原子操作（比如写一个 flag 到 bootloader 的配置区）来切换启动分区。
- 写过程中加 CRC 校验：每写一个块，就校验一次。如果发现错误，立即停止，并标记该分区为「脏分区」。
- 使用 fsync() 确保落盘：别信 write() 返回成功就觉得数据写进去了。我习惯在写入完成后调用 fsync()，强制刷到物理存储上。
核心原则：永远不要在正在运行的分区上直接写。先写备用分区，再切换。这是 A/B 分区方案的精髓。
嗯，这一节的内容就到这里。升级流程看起来步骤不多，但每一步都有坑。我建议你在自己的项目里，先把触发、校验、写入这三个环节单独测试通过，再串起来跑。别一上来就搞全流程，容易翻车。
避坑指南：我曾经在写入 rootfs 时，忘记关掉看门狗。结果写入时间太长，看门狗超时复位了——系统直接变砖。从那以后，我每次升级前都会先暂停看门狗，升级完成后再重新开启。
可可精品资料库