工程要点
- 制品真实性、部署授权、设备兼容性和运行就绪必须分别检查。
- 控制器必须保留可启动的已知良好版本。
- 按设备队列分阶段发布，并设置明确停止条件。
一次更新包含四个决定
服务器、操作员、控制器和设备分别回答：制品是否真实、目标是否获批、版本是否兼容、当前工艺是否适合变更。[2][3][1]
- 签名元数据绑定摘要、大小、版本和到期时间
- 策略绑定组织、站点和目标
- 控制器检查硬件、OS、运行时和模式
- 本地状态决定安装和重启
签名元数据，而不只是二进制文件
把安装视为可恢复事务
下载到非活动区，激活前验证，尽可能原子切换，并保留上一可启动版本，直到新版本通过本地健康条件。[4][1]
| 阶段 | 进入下一步前的证据 | 失败恢复 |
|---|---|---|
| 下载 | 摘要、大小、空间 | 删除部分文件 |
| 暂存 | 签名、兼容性 | 保持当前版本 |
| 激活 | 原子槽位切换 | 启动旧槽位 |
| 验证 | 本地设备健康 | 自动回滚 |
| 提交 | 稳定观察 | 保留审计 |
进程运行不等于设备健康
应检查周期运行时、配置、I/O 适配器、看门狗、遥测新鲜度、资源和设备专用不变量。[1]
关键判断应留在本地；云端断开不能导致回滚循环，也不能覆盖本地联锁。
使用队列、观察窗口和停止条件
- 内部硬件孪生
- 一台非关键客户设备
- 覆盖启动、停止和重连
- 小规模多样化队列
- 达到阈值自动停止
- 其余设备重新审批
在产品生命周期内保留证据
每台设备都应保留版本、摘要、批准人、兼容性、激活结果、健康证据和回滚原因。[5][6]
- 测试密钥泄露与撤销
- 测试过期元数据
- 在每个阶段断电
- 测试磁盘满和模式不兼容
- 在无远程访问时验证回滚
常见问题
容器镜像签名够吗？
不够。仍需新鲜度、防回滚、目标授权、兼容性、安全激活、健康门禁和本地恢复。
设备应自动激活更新吗？
下载和验证通常可以自动化；激活应遵循批准窗口、设备状态和本地策略。
旧版本保留多久？
至少保留到新版本通过本地与远程观察条件。
资料来源与标准
- NIST SP 800-82 Rev. 3: Guide to Operational Technology SecurityNational Institute of Standards and Technology, September 2023
- The Update Framework specificationThe Update Framework
- Uptane Standard for Design and Implementation 1.1.0Uptane
- IoT Security Verification Standard: Software Platform RequirementsOWASP Foundation
- NIST SP 800-218: Secure Software Development FrameworkNational Institute of Standards and Technology, February 2022
- Regulation (EU) 2024/2847: Cyber Resilience ActEUR-Lex
BootCtrl Engineering 于 2026年7月26日 最后核查本文技术论述与来源链接。所有产品表述均对照当前实现代码库；路线图工作不会被描述为已发布能力。
