设备 OTA 升级方案设计：从分包到灰度

设备一旦铺到现网，固件升级就是悬在头上的必答题。一套可靠的 OTA 方案需要同时回答三个问题：升得上去、升不坏、升错了能回退。

OTA 基本流程

关键设计点

• 双分区（A/B）：新固件写入备用分区，校验通过后才切换启动分区，升级中断不会变砖；
• 分包与断点续传：弱网环境下按固定块大小下载，记录已完成的块号，断连后从断点继续；
• 签名校验：固件包必须带哈希与签名，设备端验签失败立即丢弃，防止刷入被篡改的固件；
• 版本协商：设备上报当前版本，平台判断是否需要升级，支持跨版本与强制升级策略。

灰度发布

全量推送是 OTA 事故的主要来源。建议按「内测设备 → 5% → 30% → 全量」的节奏分批推送，每批观察失败率与设备重启率，异常时一键暂停。

FastBee 中的实现

FastBee 设备端固件已内置 OTA 能力：平台上传单文件固件后按设备下发升级任务，设备端自动完成下载、校验与重启，进度可在设备日志中跟踪。ESP32/ESP8266 侧的分区表与引导逻辑见设备端开发文档。