定义
固件升级（Firmware Upgrade / OTA Update）指通过远程或本地方式，将设备固件从当前版本更新至目标版本的过程。固件升级是物联网设备全生命周期管理的重要能力，可修复漏洞、增加功能、优化性能，无需现场维护即可实现设备软件迭代。升级通常基于固件包下发，通过蜂窝网络、Wi-Fi 等通道传输，由设备端完成下载、校验、烧录与重启。
固件升级与节点更新、批量激活等能力配合，支持单设备、分组、全量等多种升级策略。跨境场景下，分布多国的设备需通过国际物联网卡接收固件，一卡多国能力可保障漫游时的升级可用性。
技术特点与架构
固件升级架构通常包括：升级服务——管理固件包、制定升级任务、下发升级指令；传输通道——通过 HTTP/HTTPS、MQTT、CoAP 等协议传输固件包，支持断点续传；设备端——下载、校验、写入 Flash、重启，支持 A/B 分区、回滚；进度与结果上报——升级进度、成功/失败状态回传平台。
技术特点：支持全量与差分升级；支持灰度发布与分批升级；支持升级失败自动回滚；支持升级窗口与静默升级。跨境场景下，需考虑多地域 CDN、漫游网络稳定性，流量池共享可优化升级流量成本。
在物联网与跨境场景中的应用
固件升级广泛应用于：充电设备——充电桩、充电站的远程升级，跨境充电网络可统一推送新版本至多国设备；工业设备——网关、PLC、传感器的 OTA 升级；车载与物流——车载终端、物流追踪器的固件更新；故障修复——结合故障排查，通过固件升级修复已知问题。达希物联为跨境物联网设备提供稳定连接，支持固件升级的可靠下发与状态回传。
远程换版时的窗口与回退
下载、校验、写入与重启
固件升级的技术含义，是一次有状态的事务：设备得知目标版本，取得镜像，确认它完整且适用，写入非当前运行的区域或在可控重启中替换，再把新版本报回来。任何一步失败都不应让设备停在两边都无法启动的状态。A/B 分区允许新镜像写在备用区，确认能启动后再切换；只有单区时，更要先保证电和链路，并保留引导程序不被这次业务镜像覆盖。进度上报要区分“下载中、校验失败、写入中、等待重启、新版本已确认”，不能只用一个百分比。
灰度、静默与电量条件
使用条件包括电量或外部供电足够完成擦写，业务允许重启，以及链路能在有效期内传完包。跨境漫游带宽不稳定时，应选增量包或可续传的全量包，并设置单台超时，超时后释放，而不是无限占用升级窗口。灰度是先让少量设备完成并确认业务正常，再扩大范围；分批失败率升高就停止。静默升级只能发生在约定的空闲时段，充电中、行驶中或闸机高峰不应重启。回滚条件要事先写好：新版本无法注册、关键自检失败或在确认时限内没有报出版本，就切回旧区。
漫游弱网仍推全量大包
容易出错的是对整个跨境车队同时下发大包，设备反复下载失败，流量和平台连接都被占满，正常遥测被挤掉。另一类错误是下载完成未校验就重启，半包被写成正式镜像。平台把指令下发成功记成升级成功，设备还停在旧版本。确认时限太短，设备重启后尚在搜网，被判定失败并再次升级，形成循环。没有暂停业务的互锁，升级重启打断正在进行的控制过程。与固件包版本不一致时，任务仍指向已被替换的文件，现场升级到的不是审批过的那一版。
确认时限要留出重启后的搜网时间。时限太短，设备还没注册就被判失败并再次下载，形成升级循环。业务互锁要在擦写前检查：充电会话、行驶和闸机高峰不重启。单区设备的引导程序不参与这次业务镜像的覆盖。进度状态分开记录下载、校验、写入、等待重启和版本已确认，百分比停在一百也不等于新版本在跑。灰度先看少量设备的业务是否正常，再扩大；失败升高就停。弱网用可续传的包，单台超时后释放窗口，把链路还给遥测。平台记录的应是设备报回的版本，不是指令已发送。
回滚后的第一份状态要标明运行的是旧版本，并暂停自动再次升级，直到人工确认失败原因。否则设备会在新旧版本之间重启耗尽电量。升级窗口按设备当地时间计算，总部时钟直接下发会造成白天业务时段被重启。