📚 课程目录第4章模型更新生命周期

4. 模型更新生命周期

智能控制器的远程模型更新并不是“把新模型文件传到设备上”这么简单。它是一条跨越云端、网络、边缘控制器与现场总线的完整生命周期链路。任何一个环节缺少约束，都可能导致设备行为异常、版本混乱，甚至引发生产事故。理解这条生命周期，是设计可靠 OTA（Over-The-Air）模型更新系统的前提。

本节将模型更新生命周期拆解为五个阶段：训练、打包、分发、部署、验证。每个阶段都有明确的输入、输出与质量门禁，前一阶段的产物是后一阶段的输入，形成可追溯、可回滚的闭环。

一、训练阶段：从数据到可评估的模型

训练阶段的核心目标是产出一个满足精度与实时性约束的模型。对于智能控制器而言，模型不仅要“准”，还要“快”——推理时延必须小于控制周期的余量。例如，一个 10ms 控制周期的运动控制器，模型推理时延通常需要控制在 2ms 以内。

训练阶段的关键输出包括：模型权重文件、验证集精度报告、推理时延基准测试结果、以及训练数据版本号。这些信息将作为打包阶段的元数据输入，确保模型可追溯。

二、打包阶段：让模型成为可分发的制品

训练产出的模型通常不能直接部署到控制器。打包阶段需要完成格式转换、量化压缩、签名与元数据封装。常见的转换目标包括 TensorFlow Lite、ONNX Runtime、TensorRT 等，具体取决于控制器上的推理引擎。

# 示例：模型打包元数据 manifest.json
{
  "model_id": "ctrl-anomaly-v2.3.1",
  "base_version": "v2.2.0",
  "format": "tflite-int8",
  "sha256": "a3f1c9...e8b2",
  "input_shape": [1, 128, 6],
  "output_shape": [1, 4],
  "inference_latency_ms": 1.8,
  "signature": "MEUCIQ...",
  "created_at": "2025-06-12T08:30:00Z"
}

打包阶段必须生成唯一版本号和校验和，并对模型文件进行数字签名。控制器在部署前会验证签名，防止被篡改的模型进入设备。

三、分发阶段：可靠地把模型送到边缘

分发阶段要解决三个问题：送得到、送得稳、送得省。对于分布在广域网中的大量控制器，通常采用灰度发布策略，先向小批量设备推送，观察验证指标后再逐步扩大范围。

断点续传：网络中断后可从已下载偏移量继续，避免重复传输。
限速与错峰：避免大量设备同时下载导致带宽拥塞。
边缘缓存：在区域网关缓存模型包，减少回源流量。

四、部署阶段：原子切换与安全回滚

部署是风险最高的环节。推荐采用双分区（A/B 分区）机制：新模型写入备用分区，写入完成后通过引导标志切换，重启后从新分区加载。如果新模型启动失败或验证不通过，看门狗可自动切回旧分区。

部署策略	适用场景	优点	风险
直接覆盖	单设备调试	简单快速	失败后无法回滚
A/B 双分区	批量生产设备	原子切换、可回滚	占用双倍存储
差分更新	带宽受限场景	传输量小	补丁生成复杂

五、验证阶段：确认模型真正生效

部署完成不等于更新成功。验证阶段需要在设备上执行推理一致性比对：用同一组输入样本，分别在新旧模型上推理，确认输出差异在允许范围内。同时要观察控制回路的稳定性指标，如超调量、稳态误差、响应时间等。

验证通过后，控制器应向云端上报确认消息，包含模型版本号、推理时延实测值、验证样本通过率。只有收到确认，云端才将该设备标记为“更新完成”。

六、常见误区与复盘

误区一：只验证模型精度，不验证控制效果。模型精度高不代表控制回路稳定，必须结合闭环测试。
误区二：忽略回滚路径。没有回滚方案的更新等于“单程票”，一旦失败只能现场维护。
误区三：版本号不唯一。多个模型共用版本号会导致云端无法判断设备实际运行的是哪个模型。

复盘时建议检查：每个阶段是否有明确的准入准出条件？验证失败后是否自动触发回滚？数据回流是否形成了再训练闭环？只有把生命周期当作闭环系统来运营，远程模型更新才能真正做到安全、可控、可持续。