固件发布与灰度升级

OTA 连接固件制品、受控发布、设备资格和升级回执。它不是上传一个文件后直接把所有设备标为升级成功。

开始前

准备匹配设备类型和物模型版本的固件、实际固件升级客户端、受控签名服务及信任基线。平台控制面可操作不等于目标硬件组合已经验证。新接入协议不能自动继承 MQTT OTA 能力。

进入“固件管理”，创建固件草稿并按上传流程提供制品。核对版本、类型、模型与制品摘要，处理上传会话和服务端对象复验。发布使用受控清单与签名材料；未配置签名服务时会拒绝，不制造 READY 状态。

“导入受控信任包”和“登记受控类型基线”分别管理公开信任材料和服务器配置登记。这里不接收私钥。读取信任域、发布键与基线历史只是查看事实，不等于当前设备符合升级资格。

在“灰度活动”创建活动，选择允许的发布物、目标与执行策略。先从已经单独验证的少量测试设备开始，核对活动状态、目标作业和回执；不要以活动创建成功作为升级成功。

“设备作业”查看逐设备进度、失败及允许操作；“升级审计”查询过程事实。下载清单、签名或摘要不代表设备已验签，平台派发不代表固件已启动。

回退先查看预检证据与当前资格，缺信息或不符合时保留拒绝。旧发布材料、已清理正文、过期凭据不能靠修改客户端绕过。

分别检查签名与制品、设备下载和验签、安装与重启、当前版本及必要的回退能力。真实设备验收与本地软件测试分开记录，生产升级需使用对应环境批准的操作流程。