OTA 与恢复

升级文档必须让用户在开始前知道适用硬件、升级来源、校验方法、断电风险和恢复路径。

当前不可直接执行

仓库中存在 Web OTA 和签名校验实现，但产品硬件的正式升级入口、按键/救援模式、供电要求和回滚策略尚待维护者提供。

升级前检查

1. 确认产品型号和 PCB Revision。
2. 记录当前固件版本、secure version 和配置。
3. 从官方下载中心获取对应文件。
4. 校验 SHA-256 和签名。
5. 确保供电稳定，不在飞行或关键任务期间升级。
6. 了解失败后的串口或硬件恢复方式。

Web OTA

仓库表明 OTA 会检查 ESP-IDF app descriptor、项目名和 secure version；高锁级设备还要求 Board ID 与 Monocypher 签名 descriptor。

正式用户流程还需补充：

• 如何进入更新页面。
• 支持的浏览器和网络方式。
• 文件格式和最大大小。
• 上传、校验、写入、重启各阶段的界面表现。
• 何时可以安全断电。
• 成功和失败状态码。

签名与 secure version

• 不允许以关闭签名校验作为常规排障方法。
• secure version 降级策略必须明确。
• 公钥更新和撤销流程需要单独说明。
• 发布包应说明签名者、校验方法和密钥轮换策略。

升级失败

最终应提供按症状分流：

症状	可能阶段	首选动作	禁止动作
上传被拒绝	文件/签名/版本检查	核对型号、版本和校验值	不要强制修改镜像
写入中断	供电或网络	保持供电并按恢复流程操作	不要反复快速断电
重启后无响应	启动或硬件	进入正式救援模式	不要盲目擦除 NVS/密钥
配置丢失	迁移或 NVS	使用配置恢复流程	不要使用其他设备身份

硬件恢复

需要维护者提供：烧录接口、BOOT/RESET 操作、官方恢复镜像、是否保留 NVS、密钥和身份、恢复后的验证步骤。