欢迎光临~深圳市芯橙科技有限公司
语言选择：
∷
∷
∷
核心思路：让保护策略待在升级流程碰不到的地方，而不是靠升级时“小心别刷错”。
一、保护逻辑与业务固件分开存放
保护策略不能和普通业务代码混在同一块可擦写区域。
把过流、漏电、断闸条件等安全逻辑放在独立分区，OTA只更新业务区，安全区不参与常规升级。
这样即使业务固件被整体替换，保护逻辑仍在原位。
二、双分区运行，升级不覆盖当前系统
采用A/B双分区。当前运行的A区保持不动，新固件写入空闲的B区。
写入完成后不立即切换，由启动程序检查B区是否完整、签名是否有效，再决定是否从B区启动。
B区启动异常或自检不通过，自动回到A区，保护策略不受影响。
三、启动程序不可升级，负责最后把关
启动程序是切换分区的仲裁者，也是信任链的起点。
它不能被普通OTA修改。每次启动先验签、再跳转。
新固件如果试图改动保护逻辑，验签阶段就会被拦下。
连续回滚超过次数，设备进入最小安全模式，只维持基础通信和CP信号，等待人工处理。
四、签名和安全启动防止保护策略被篡改
固件必须带厂商签名，桩端验签失败就拒绝安装或启动。
保护策略所在的模块也要纳入签名范围。任何对阈值、延时、断闸逻辑的修改都必须留下签名记录，不能静默生效。
同时启用防降级机制，防止设备被刷回保护较弱的旧版本。
五、硬件看门狗在软件失效时兜底
保护策略不能只靠软件。
独立硬件看门狗由主控定时喂狗，超时直接复位。
新固件启动后若未在规定时间内上报正常心跳，看门狗触发重启并回退旧分区。
看门狗逻辑固化在硬件或独立芯片中，OTA流程无权关闭。
六、保护参数与保护逻辑分离
阈值、延时、动作条件等参数放在独立存储区，升级只改逻辑代码，不碰参数区；或者参数写入需要额外授权。
这样即使业务固件被替换，保护底线参数仍然保留。
升级前后记录保护策略版本和哈希，平台发现异常可暂停推送。
七、运维层用灰度和回滚兜住批量风险
先小批量验证，回滚率超过阈值自动暂停全量推送。
每次回滚上报平台并生成记录，让保护策略是否被意外修改成为可观测事件，而不是等现场故障才发现。
总结：
保护策略不丢，靠的是架构隔离、双分区回滚、不可变启动程序、签名校验、硬件看门狗、参数分离和灰度运维多层叠加。升级流程根本碰不到保护策略，才是真正的安全。
芯橙科技出品的交流充电桩主板，质优价美，欢迎咨询选购！
联系人： 深圳市芯橙科技有限公司
手机： 18025316892
电话： 0755-21010929
邮箱： shutao.chen@x-cheng.com
地址： 深圳市龙华区民治大道展滔科技大厦B座911