第三章 恢复策略总览：黄金备份区、双备份区、三备份区、外部存储备份、回滚机制
大家好，我是你们的Bootloader讲师。今天我们来聊聊升级失败后的「救命稻草」——恢复策略。
说实话，做嵌入式固件开发这么多年，我见过太多因为升级失败导致设备变砖的惨案。有一次在产线上，一批设备因为升级过程中意外断电，结果全部变砖，那场面...嗯，不提了。从那以后，我对恢复策略的重视程度直接拉满。
这一章，我会把主流的恢复策略掰开揉碎讲清楚。你想想看，如果升级过程中突然断电、通信中断、或者固件本身就有bug，系统该怎么自救？这就是我们今天要聊的核心。
3.1 黄金备份区（Golden Backup Region）
黄金备份区，说白了就是一块「只读」的保险区域。我习惯叫它「最后一道防线」。
它的原理很简单：在Flash里划出一块独立区域，存放一个经过严格验证的、永远不会出错的固件版本。这个版本通常是出厂固件，或者经过长期稳定运行验证的版本。
核心特点：
- 只读属性：升级过程中不会被擦除或改写
- 体积小巧：通常只包含基础功能，比如网络恢复、USB下载等
- 独立保护：有硬件写保护机制，防止误操作
我在项目中遇到过这样的情况：某款智能电表，主固件升级失败后，系统自动回退到黄金备份区。用户只需要重新下载固件，就能恢复。整个过程用户几乎无感知。
我的建议：黄金备份区的大小控制在总Flash的10%-15%就够了。太大浪费空间，太小功能受限。
3.2 双备份区（Dual Backup Region）
双备份区，也叫A/B分区方案。这是目前最常用的策略之一。
它的思路是：把Flash分成两个区域，A区和B区。一个运行，一个待命。升级时，先更新待命区，校验通过后再切换。
| 状态 | A区 | B区 | 说明 |
|---|---|---|---|
| 正常运行 | 运行中 | 待命 | 系统从A区启动 |
| 升级中 | 运行中 | 写入新固件 | B区正在接收新版本 |
| 升级成功 | 待命 | 运行中 | 切换启动区为B |
| 升级失败 | 运行中 | 损坏 | 回退到A区，B区标记为无效 |
你可能会问：为什么不用三个区？别急，三备份区马上就来。
注意：双备份区虽然可靠，但Flash占用翻倍。如果你的芯片Flash只有256KB，那就要慎重考虑了。
3.3 三备份区（Triple Backup Region）
三备份区，是我个人比较推崇的方案。它比双备份多了一层保险。
结构是这样的：
- 主运行区：当前运行的固件
- 升级暂存区：新固件下载到这里
- 安全回退区：上一个稳定版本
升级流程：
- 新固件下载到升级暂存区
- 校验通过后，复制到主运行区
- 原来的主运行区内容，备份到安全回退区
- 如果新固件运行异常，从安全回退区恢复
我曾经在一个医疗设备项目里用了三备份区。设备升级后出现了一个极其隐蔽的bug，导致心率监测不准。幸好有安全回退区，一键回滚到上一个版本，设备立刻恢复正常。要是只有双备份，那台设备就得返厂了。
三备份区的优势：
- 可以回滚到任意一个历史版本
- 升级过程中即使多次失败，也有兜底方案
- 适合对可靠性要求极高的场景（医疗、工业、汽车）
3.4 外部存储备份（External Storage Backup）
当内部Flash实在不够用时，就该外部存储上场了。
常见的做法是：
- 使用SPI Flash、SD卡、eMMC等外部存储
- 把备份固件存放在外部存储中
- Bootloader从外部存储读取备份，恢复到内部Flash
我记得有个项目，芯片内部Flash只有512KB，但固件有1.2MB。怎么办？只能把备份放在外部SPI Flash里。升级时，先下载到SPI Flash，校验通过后再搬进内部Flash。
避坑指南：我曾经遇到过外部Flash坏块导致恢复失败的情况。后来加上了ECC校验和坏块管理，问题才解决。外部存储的可靠性不如内部Flash，一定要做好校验。
3.5 回滚机制（Rollback Mechanism）
回滚机制，是所有恢复策略的「最后一公里」。没有它，前面那些备份区都是摆设。
回滚的核心逻辑：
- 检测到升级失败（比如校验失败、启动超时、运行异常）
- Bootloader自动切换到备份区
- 标记当前固件为「不可用」
- 从备份区启动，并通知上层应用
我习惯在Bootloader里加一个「回滚计数器」。如果连续回滚超过3次，就进入安全模式，不再自动尝试升级。为什么？因为可能是新固件本身有严重bug，反复回滚只会浪费时间和电量。
重要提醒：回滚不是万能的。如果备份区也被破坏了，那就真的变砖了。所以，我强烈建议至少保留一个「不可擦除」的黄金备份区。
3.6 如何选择适合你的策略？
说了这么多，到底该选哪种？我给大家一个参考：
| 场景 | 推荐策略 | 理由 |
|---|---|---|
| 消费电子（智能家居、穿戴） | 双备份区 | 成本敏感，Flash有限，双备份够用 |
| 工业控制 | 三备份区 + 外部存储 | 可靠性要求高，允许一定成本 |
| 医疗设备 | 黄金备份区 + 三备份区 | 人命关天，必须万无一失 |
| 汽车电子 | 双备份区 + 外部存储 | OTA升级频繁，需要大容量备份 |
| 物联网终端 | 黄金备份区 + 双备份区 | 网络不稳定，需要快速恢复 |
嗯，这一章的内容就到这里。总结一下：
- 黄金备份区是最后防线，必须保留
- 双备份区是主流选择，性价比高
- 三备份区适合高可靠性场景
- 外部存储解决容量不足问题
- 回滚机制是恢复策略的闭环
下一章，我会带大家手写一个黄金备份区的Bootloader代码。到时候咱们直接上硬货，把今天讲的理论变成能跑的程序。
记住一句话：没有完美的固件，只有可靠的恢复策略。