万级设备 OTA：先设计升级失败后的恢复路径

1. 升级不仅是下载文件

设备身份、固件版本、供电、网络和存储条件，决定升级是否能够启动。建立设备清单和版本兼容关系，先检查升级前置条件，再执行分发。

2. 分批与灰度降低一次性影响

按设备类型、区域与版本分组，先选代表性设备验证，再逐步扩大范围。监测成功率、耗时和异常类型，触发异常条件时暂停下一批；升级窗口应兼顾现场业务。

3. 恢复策略取决于设备资源

双分区、回滚和安全启动需要对应的硬件与固件设计。不能默认所有旧设备都支持相同恢复方式。资源有限时，要明确断电续传、重试与现场维修路径。

4. 验收包含中断与混合版本

测试弱网、掉电、损坏镜像、版本不匹配和升级后启动失败。同时验证不同版本设备在过渡阶段能否共同运行，保存升级记录和回执，形成可追踪的维护流程。