第4章 回滚保护机制设计：双分区表设计原理、备份策略与触发流程

分区表一旦损坏，设备就变砖。这不是危言耸听。

我早年做一款工业平板时，就遇到过OTA升级中途断电，分区表写了一半。重启后系统连uboot都进不去，只能拆机用JTAG救。那次之后，我彻底把双分区表+回滚机制写进了所有项目的设计规范里。

这一章，咱们就聊聊怎么设计一套靠谱的回滚保护机制。说白了，就是给分区表上双保险。

4.1 双分区表设计原理

双分区表，顾名思义，就是存两份分区表。一份叫主分区表，一份叫备份分区表。它们内容完全一样，但存放在不同的物理位置。

我习惯把主分区表放在存储设备的前几个块，比如LBA 0~3。备份分区表放在最后几个块，比如LBA 2044~2047。这样即使前端介质出现坏块，后端还能保底。

项目	主分区表	备份分区表
物理位置	存储设备起始区域	存储设备末尾区域
访问优先级	第一优先级	主表失效时启用
更新策略	每次升级时先写主表	主表写入成功后同步
校验方式	CRC32 + 魔数	CRC32 + 魔数

你可能会问：为什么不直接备份一份到另一个分区？

原因很简单——另一个分区也可能坏。放在物理上远离的位置，才能抵抗介质级故障。我在一个NAND Flash项目里遇到过，芯片中间区域有大量坏块，但起始和末尾区域完好。双分区表正好救了场。

4.2 备份分区表策略

备份不是简单复制。你得考虑三个问题：什么时候备份？怎么保证备份一致性？备份失败怎么办？

4.2.1 备份时机

我个人推荐以下三个时机：

1. 系统首次烧录时：主表和备份表同时写入，保证出厂状态一致。
2. 每次分区表更新成功后：主表写成功，立即同步到备份表。
3. 系统正常关机前：做一次校验性备份，确保备份表与主表一致。

4.2.2 备份一致性保证

写备份表时最怕断电。我的做法是：

• 先写备份表到一个临时区域
• 写入完成后校验CRC
• 校验通过，再原子性地更新备份表指针

这样即使写临时区域时断电，原备份表还在，不会丢。

/* 备份分区表写入流程（伪代码） */
int backup_partition_table(struct pt *pt) {
    // 1. 计算CRC
    pt->crc = crc32(pt, sizeof(*pt) - 4);
    
    // 2. 写入临时区域
    write_to_temp(pt, BACKUP_TEMP_OFFSET);
    
    // 3. 校验写入结果
    if (verify_crc(BACKUP_TEMP_OFFSET) != 0) {
        return -EIO;  // 写入失败，原备份表不变
    }
    
    // 4. 原子切换：更新备份表起始指针
    atomic_write(&backup_ptr, BACKUP_ACTIVE_OFFSET);
    
    return 0;
}

4.3 回滚触发条件

不是所有错误都要回滚。触发条件要精准，否则会频繁回滚，影响用户体验。

我总结了三类必须触发回滚的场景：

触发条件	检测方式	严重程度
主分区表CRC校验失败	启动时CRC32校验	致命
主分区表魔数不匹配	检查固定魔数字段	致命
主分区表指向的分区不存在	遍历分区条目，检查有效性	严重
连续启动失败超过阈值	内核panic计数或看门狗复位计数	严重

还有一种情况我特别提一下：分区表版本号不匹配。比如主表版本是v2，备份表版本是v1。这说明上次升级只写了一半。这时候也要触发回滚，但回滚方向是"用备份表启动，然后重新尝试升级"。

4.4 回滚执行流程

回滚流程必须设计成幂等的——不管执行多少次，结果都一样。这样即使回滚过程中再次断电，也不会造成二次损坏。

下面是我在项目中实际使用的回滚流程：

1. 检测到触发条件：uboot或内核启动早期发现主表异常。
2. 记录回滚事件：写入RTC或专用寄存器，标记"正在回滚"。
3. 校验备份表：检查备份表的CRC和魔数。如果备份表也坏了，进入恢复模式。
4. 交换主备角色：将备份表内容复制到主表位置，或者直接修改启动指针指向备份表。
5. 清除回滚标记：写入成功，清除标记。
6. 重启系统：用恢复后的主表正常启动。

来看一个实际的uboot回滚代码片段：

/* uboot中回滚执行流程 */
int rollback_partition_table(void) {
    // 1. 标记回滚状态
    set_rollback_flag(ROLLBACK_IN_PROGRESS);
    
    // 2. 校验备份表
    if (verify_backup_table() != 0) {
        printf("Backup table corrupted, entering recovery mode\n");
        enter_recovery_mode();
        return -1;
    }
    
    // 3. 指针切换：让主表指针指向备份表位置
    //    这里假设主表在LBA0，备份表在LBA2044
    if (switch_table_pointer(PRIMARY_PTR, BACKUP_OFFSET) != 0) {
        printf("Pointer switch failed\n");
        return -1;
    }
    
    // 4. 清除回滚标记
    clear_rollback_flag();
    
    // 5. 同步备份表到主表位置（后台任务，不阻塞启动）
    schedule_async_sync(PRIMARY_OFFSET, BACKUP_OFFSET);
    
    return 0;
}

这里有个细节：步骤5的同步是异步的。为什么？因为回滚的目的是尽快让系统启动，而不是等数据复制完。用户等不了那几百毫秒。同步可以在系统启动后再做，不影响用户体验。

4.5 整体架构图

下面这张图展示了双分区表回滚保护的整体流程。从启动检测到回滚执行，一目了然。

4.6 避坑指南

最后分享几个我踩过的坑：

• 不要只备份分区表数据，不备份校验信息。我曾经只备份了分区表内容，没备份CRC。结果主表坏了，备份表也读不出来——因为不知道备份表本身是不是完整的。
• 回滚标记要写在非易失存储里。RTC寄存器、eFuse、专用Flash块都行。别只写在内存里，一断电就丢了。
• 回滚次数要有限制。我见过一个设备反复回滚，每次启动都触发回滚，永远进不了系统。加一个"最大回滚次数"计数器，超过次数直接进恢复模式。

双分区表回滚保护，说复杂也复杂，说简单也简单。核心就三点：存两份、校验严、回滚快。把这三点做到位，变砖的概率能降低90%以上。