怕OTA升级变“砖头”？OCPP充电桩控制板双区备份，怎么做到无感回滚？

• 单区Flash设计，新固件直接覆盖旧固件，升级中断（断电/断网/包损坏）即无完整可运行版本。

• 变砖场景：4G信号闪断，差分包传输 incomplete，CRC校验失败，MCU跳转无效地址；电网停电，Bootloader擦除旧版本后未写完新版本，启动无代码；恶意/错误固件，签名验证绕过，刷入后HardFault死循环。

• Flash分区为Bootloader区（只读，永不可擦，占64-128KB）、A区（当前运行区，占512KB-1MB）、B区（接收新区，占512KB-1MB）。

• MCU选型要求Flash≥2MB（A+B+Bootloader），Cortex-M7或RISC-V，如STM32H7、沁恒CH32V307。

• 升级触发，云端推送差分包，桩端4G/Wi-Fi接收，写入B区。

• 校验阶段，Bootloader计算B区CRC/SHA-256，验证签名（厂商私钥ECDSA-P256），失败则标记B区无效，继续运行A区。

• 切换阶段，校验通过，Bootloader复制A区关键配置到B区，设置"下次启动试B区"标志。

• 重启试跑，软重启或定时重启，Bootloader先跳转B区，B区运行30秒-5分钟自检测试（外设初始化、通信握手、计量采样）。

• 仲裁决策，B区自检测试PASS→标记B区为"正式运行区"，A区保留为备份；FAIL→自动回滚A区，清除B区标志，上报升级失败原因。

• 用户感知，整个流程15-30分钟，充电中不中断，仅下次启动时短暂切换，APP推送"固件已更新"或"更新失败，已恢复"。

• 差分升级，仅传输变化部分，2MB固件差分后50-100KB，4G Cat.1<3分钟，降低中断概率。

• 断点续传，接收中断后记录偏移量，恢复后从断点继续，非重头开始。

• 配置迁移，A区用户设置、计量累计、交易记录自动复制到B区，避免升级后数据丢失。

• 回滚保留，旧版本保留180天（可配置），期间可随时手动回滚，180天后自动擦除释放空间。

• 双区（A+B+Bootloader）为2026年主流，成本适中，Flash 2MB足够，回滚自动化。

• 三区（A+B+C+Bootloader）为极端安全场景，C区为"工厂救援版"，任何情况下可恢复，Flash需4MB，成本+15元，仅高端桩或出口强制。

双区备份防变砖，Bootloader永不可擦是底线，A区运行+B区接收+自检测试+自动仲裁是流程，差分+断点续传降风险，配置迁移保数据。用户零感知，运维零上门，2026年无A/B双区的桩，OTA功能等于"俄罗斯轮盘赌"。

芯橙科技出品的交流充电桩控制板，质优价美，欢迎咨询选购！