2. OTA升级基础

OTA（Over-The-Air，空中下载）升级，是指设备通过无线网络获取新固件、配置或应用包，并在本地完成校验、写入与生效的一整套技术过程。它并不是简单的“下载文件再重启”，而是由版本管理、差分/全量打包、传输通道、安全校验、分区写入、回滚保护、状态上报等环节共同构成的系统工程。对于多分区设备而言，OTA 的核心价值在于：让设备在不拆机、不返厂的前提下，安全、可控、可回滚地完成功能迭代与缺陷修复。

2.1 核心原理：从“替换文件”到“分区切换”

早期 OTA 常采用“直接覆盖当前运行固件”的方式，风险极高：一旦断电或写入中断，设备将无法启动。现代 OTA 普遍采用A/B 双分区或恢复分区（Recovery）机制。以 A/B 分区为例，设备当前运行在 A 分区，新固件被写入 B 分区；写入并校验成功后，仅修改启动标志（boot flag），下次重启从 B 分区启动。若 B 分区启动失败，引导程序可自动回退到 A 分区，从而保证设备始终可用。

与分区机制配套的还有差分升级。全量包体积大、传输耗时；差分包只包含新旧版本之间的差异，体积可缩小 50%～90%。但差分升级要求设备端具备精确的旧版本基线，否则差分还原会失败。因此，工程上常采用“差分优先、全量兜底”的策略。

2.2 发展历程：从有线烧录到智能差分

OTA 的演进大致可分为四个阶段。第一阶段是有线烧录时代，设备通过串口、JTAG 或 USB 连接电脑，由人工完成固件写入，效率低且依赖现场操作。第二阶段是单分区无线升级，设备通过 GPRS 或 Wi-Fi 下载完整固件并覆盖写入，实现了远程更新，但断电即变砖的风险突出。第三阶段是双分区与恢复模式，A/B 分区、Recovery 分区和看门狗机制被广泛采用，升级可靠性大幅提升。第四阶段是智能化与差分升级，云端按设备型号、版本、地域、批次进行灰度发布，设备端支持差分还原、断点续传、签名校验和自动回滚，OTA 从“能升级”走向“可运营”。

2.3 典型应用场景

• 智能家居：智能音箱、门锁、摄像头通过 Wi-Fi OTA 更新语音模型、安全补丁和配网逻辑。
• 车联网：T-Box、座舱域控制器、自动驾驶域控制器通过蜂窝网络或 Wi-Fi 完成固件与配置升级，要求强回滚与断电保护。
• 工业物联网：PLC、网关、传感器在偏远现场通过 4G/5G 或 LoRa 升级，强调低带宽差分包与断点续传。
• 可穿戴设备：手表、耳机通过蓝牙 OTA 更新固件，包体小、功耗敏感，常采用分片传输与低功耗策略。
• 医疗与能源：对合规性和可追溯性要求高，升级过程需完整审计日志与版本签名。

2.4 升级方式分类与对比

OTA 升级方式可从多个维度分类。按包体形态分为全量升级与差分升级；按分区策略分为单分区覆盖、A/B 双分区、Recovery 恢复升级；按传输通道分为 Wi-Fi、蜂窝、蓝牙、LoRa 等；按触发方式分为手动触发、定时触发、云端推送和灰度发布。不同方式在可靠性、带宽占用、存储开销和实现复杂度上差异明显。

2.5 行业现状与常见误区

当前 OTA 已从“附加功能”变为设备的基础能力。头部云平台普遍提供设备影子、版本管理、灰度策略、升级任务编排和失败重试能力；设备端则趋向于标准化，如 Android A/B、Linux SWUpdate、MCUboot、ESP-IDF OTA 等方案被广泛采用。与此同时，安全要求持续提升：固件签名、防回滚、加密传输、安全启动已成为标配。

# 典型 OTA 升级日志片段
[OTA] current_slot=A, target_slot=B
[OTA] download package: v2.0.1-diff.bin, size=1.8MB
[OTA] sha256 verify: PASS
[OTA] write to slot B: 100%
[OTA] set boot flag: B
[OTA] reboot...
[OTA] boot from B: OK, version=v2.0.1
[OTA] report status: SUCCESS

理解 OTA 的基本概念、演进脉络、典型场景与升级方式分类，是后续进行多分区部署、差分策略设计和灰度发布的前提。只有把“升级链路”和“回滚链路”同时设计清楚，OTA 才真正具备工程可用性。