什么是嵌入式OTA升级
你有没有遇到过家里的智能插座突然提示“正在升级”，然后自己重启了一下就变聪明了？或者车载导航系统隔几个月就多出一个新功能？这些背后都离不开一种叫OTA的技术。OTA，全称Over-The-Air，翻译过来就是“空中下载”。在嵌入式开发中，它指的是不通过数据线、不拆设备，直接通过网络远程给设备更新固件。
为什么需要OTA升级
以前修个Bug得把设备一个个召回，成本高得吓人。比如一家公司卖了10万台智能灯泡，发现开关逻辑有缺陷，难道要用户寄回来刷程序？显然不现实。有了OTA，工程师在服务器端改好代码，用户点一下“升级”，问题就解决了。省时省力，还能持续优化产品体验。
OTA升级的基本流程
设备上电后会定期连接服务器，检查是否有新版本。如果有，就下载固件包。但不能边运行边换程序，那样容易变砖。所以通常设备里会预留两份空间：一份是当前运行的A区，另一份是空闲的B区。新固件下载后写进B区，等下次重启时，引导程序（Bootloader）检测到B区有新版本，就从那里启动。
双分区机制保障安全
这种A/B分区的设计很关键。万一新固件启动失败，Bootloader能自动回退到原来的A区，设备还能正常使用。就像你装了个新系统蓝屏了，还能按F8进安全模式一样。很多工业设备和智能家居产品都采用这种策略，避免升级失败导致设备瘫痪。
差分升级节省流量
如果每次升级都传整个固件，几十MB的数据对Wi-Fi设备还好，但对用蜂窝网络的设备来说太烧钱。于是有了差分升级技术——只传新旧版本之间的差异部分。比如原固件是“打开灯”，新版本改成“延时5秒再打开”，那升级包可能只有几KB。服务器用bsdiff算法生成补丁，设备端用bsdif算法还原完整镜像。
代码签名防止被篡改
谁都能给设备发升级包？那肯定不行。黑客伪造一个带木马的固件，设备一升级就成肉鸡了。所以正规的OTA流程都会做数字签名。服务器用私钥对固件签名，设备用内置的公钥验证。只有签名校验通过才允许刷写。这就像收快递，必须核对寄件人印章是不是官方的。
// 示例：简单的固件校验伪代码
bool verify_firmware(uint8_t* firmware, uint32_t size, uint8_t* signature) {
return mbedtls_rsa_pkcs1_verify(NULL, MBEDTLS_MD_SHA256,
size, (unsigned char*)"firmware_hash",
signature) == 0;
}实际开发中的坑
别以为推个包就完事了。网络中断怎么办？得支持断点续传。设备电量低的时候升级，突然断电，Flash写到一半，可能直接报废。所以升级前要检测电量和网络稳定性。有些设备还会设置“安全窗口”，比如只在凌晨2点到4点之间允许升级，避开使用高峰。
还有版本兼容性问题。新固件调用了硬件没有的功能，设备跑不起来。所以版本号管理要严格，服务器下发前先比对设备型号和当前版本，确保匹配。