📚 课程目录第1章 OTA升级流程总体架构设计

1. OTA升级流程总体架构设计

任务目标

设计一个适用于嵌入式设备的OTA升级总体架构，明确升级包生成、传输、校验、写入与回滚的完整链路，并给出各模块的职责边界与关键接口定义。本案例聚焦架构设计而非具体芯片驱动实现，最终交付一份可直接指导工程落地的分层架构方案。

架构设计

OTA升级流程划分为四个层次：构建层（升级包生成与签名）、传输层（下载与完整性校验）、执行层（分区写入与激活）、恢复层（失败回滚与版本管理）。各层通过明确定义的接口解耦，核心状态机由执行层统一管理。

核心接口定义

以下代码定义各层之间的关键数据结构与接口，是架构落地的骨架。实际工程中可据此扩展具体实现。

// ota_arch.h - OTA升级总体架构核心定义
#include <stdint.h>
#include <stddef.h>

#define OTA_PARTITION_A   0
#define OTA_PARTITION_B   1
#define OTA_MAGIC         0x4F544131  // "OTA1"

// 升级包头部（构建层生成，传输层透传）
typedef struct {
    uint32_t magic;          // OTA_MAGIC
    uint32_t version;        // 固件版本号
    uint32_t payload_len;    // 固件数据长度
    uint32_t crc32;          // 固件数据CRC32
    uint8_t  sha256[32];     // 固件数据SHA-256
    uint8_t  signature[64];  // ECDSA签名（对以上字段+payload）
} ota_package_header_t;

// 分区信息（执行层使用）
typedef struct {
    uint32_t start_addr;     // 分区起始地址
    uint32_t size;           // 分区大小
    uint32_t version;        // 当前固件版本
    uint8_t  boot_ok;        // 启动成功标志
    uint8_t  active;         // 是否为当前活动分区
} ota_partition_info_t;

// 升级状态机（执行层核心）
typedef enum {
    OTA_IDLE = 0,
    OTA_DOWNLOADING,
    OTA_VERIFYING,
    OTA_WRITING,
    OTA_COMMITTING,
    OTA_ROLLBACK,
    OTA_ERROR
} ota_state_t;

// 传输层接口：下载并校验升级包
// 返回0成功，负数为错误码
int ota_download_and_verify(const char* url, 
                            ota_package_header_t* hdr,
                            uint8_t* payload_buf,
                            size_t buf_size);

// 执行层接口：写入指定分区
// part_id: OTA_PARTITION_A 或 OTA_PARTITION_B
int ota_write_partition(int part_id, 
                        const ota_package_header_t* hdr,
                        const uint8_t* payload);

// 执行层接口：提交新版本并切换活动分区
int ota_commit(int part_id);

// 恢复层接口：回滚到上一个可用版本
int ota_rollback(void);

// 恢复层接口：启动时检查，确认固件运行正常
// 若启动计数超限则自动回滚
void ota_boot_check(ota_partition_info_t* active_part);

状态机流转逻辑

执行层状态机是架构的中枢，其流转规则如下：

// ota_state_machine.c - 状态机核心实现（简化）
#include "ota_arch.h"

static ota_state_t current_state = OTA_IDLE;
static int target_partition = OTA_PARTITION_B;

// 主状态机处理函数，由事件驱动调用
ota_state_t ota_process_event(ota_event_t event, void* param) {
    switch (current_state) {
    case OTA_IDLE:
        if (event == EVT_START_UPDATE) {
            current_state = OTA_DOWNLOADING;
            // 触发下载任务
        }
        break;
        
    case OTA_DOWNLOADING:
        if (event == EVT_DOWNLOAD_DONE) {
            // 校验通过后进入写入
            current_state = OTA_VERIFYING;
        } else if (event == EVT_ERROR) {
            current_state = OTA_ERROR;
        }
        break;
        
    case OTA_VERIFYING:
        if (event == EVT_VERIFY_OK) {
            current_state = OTA_WRITING;
        } else {
            current_state = OTA_ERROR;
        }
        break;
        
    case OTA_WRITING:
        if (event == EVT_WRITE_DONE) {
            current_state = OTA_COMMITTING;
        } else {
            current_state = OTA_ROLLBACK;
        }
        break;
        
    case OTA_COMMITTING:
        if (event == EVT_COMMIT_OK) {
            current_state = OTA_IDLE;
            // 标记新分区为活动
        } else {
            current_state = OTA_ROLLBACK;
        }
        break;
        
    case OTA_ROLLBACK:
        ota_rollback();
        current_state = OTA_IDLE;
        break;
        
    case OTA_ERROR:
        // 等待复位或手动恢复
        break;
    }
    return current_state;
}

运行与验证

编译验证：将上述两个代码块保存为 ota_arch.h 和 ota_state_machine.c，使用任意C编译器（如 gcc -c ota_state_machine.c）验证语法正确性。状态机代码中 ota_event_t 和 EVT_* 常量需自行补充枚举定义，此处仅展示核心逻辑。

架构验证路径：

确认升级包头部字段覆盖了构建、传输、执行三层的校验需求（CRC32用于快速校验，SHA-256用于安全校验，签名用于防篡改）；
确认双分区设计（A/B分区）支持回滚——写入非活动分区，提交后切换，启动失败可回退；
确认状态机覆盖了从下载到提交的完整链路，且每个失败路径都有明确的错误处理或回滚入口。

通过条件：架构图中每个模块都能在上述代码中找到对应接口或数据结构；状态机不存在未定义的状态跃迁；所有错误路径最终回到 OTA_IDLE 或 OTA_ERROR，不会出现死锁。