更新与容灾机制

对于分散部署、无人值守的边缘设备，“如何安全地更新”与“如何持续地运行”同样重要。JelinaOS 通过 A/B 双系统 + 智能切换策略 + 多种更新通道 的组合，让更新与容灾成为一个整体解决方案。

A/B 双系统：更新有退路

工作原理

更新前                      更新中                      更新后（校验通过）
┌──────────┐                ┌──────────┐                ┌──────────┐
│ System A │ ◀── 当前运行  │ System A │ ◀── 继续运行  │ System A │ ◀── 继续运行
│ System B │                │ System B │ ◀── 写入新版本│ System B │ ✅ 校验通过
└──────────┘                └──────────┘                └──────────┘
                                                        下次启动切换至 B

• 设备始终运行在某一套系统上，更新只写入另一套；
• 更新完成后，系统在下次启动时自动切换，并校验新系统的健康状况；
• 若新系统启动失败或校验异常，自动回退到原系统——设备照常运行，更新失败如同没有发生。

与普通双系统的区别

传统双系统是“手动选择进哪个系统”，两个系统各自积累状态、互不相关。JelinaOS 的 A/B 双系统则是：

• 两套系统内容互为备份，均为出厂状态；
• 运行期所有写入统一进入数据分区，与系统无关；
• 切换由启动策略自动完成，无需人工干预。

更新通道

JelinaOS 提供多种更新方式，覆盖不同场景：

更新通道	适用场景	说明
云端 OTA	设备接入 JelinaCloud	云端编排更新计划，批量下发，支持固定版本与分批执行
本地 OTA	离线或本地管控环境	通过设备端工具应用更新包，现场人员可控
离线更新包	网络不可达的偏远站点	下载更新包后离线应用，覆盖系统/内核/代理/应用
增量更新	带宽受限的现场	只传输变化部分，显著减少下载量与更新耗时

更新确认机制

对于关键现场，JelinaOS 支持更新需本地确认的保护能力：

• 云端发布的新版本到达设备后，先保存在设备端，不会立即执行；
• 现场人员确认后，更新才开始安装；
• 现场人员拥有最终决定权，避免“云端一键更新”带来的现场风险。

系统健康守护

启动校验

每次启动时，系统都会校验当前系统分区的完整性。异常时自动尝试另一套系统，确保设备总能进入可用状态。

看门狗

系统级看门狗持续监控运行状态：

• 检测到系统无响应或关键服务异常时自动介入；
• 可配置重启策略与恢复动作；
• 与 A/B 双系统配合，形成“检测 → 恢复 → 兜底”的完整链路。

自动修复

当系统出现错误时，内置策略可自动触发修复流程：优先尝试在当前系统内修复，必要时切换至备用系统，最大限度减少人工介入。

恢复出厂设置

需要将设备恢复到初始状态时，可以通过恢复分区完成：

• 一键重置：恢复出厂设置会将系统与用户写入恢复到出厂状态，设备如同全新安装；
• 数据保护：如有需要保留的重要数据，请在操作前提前备份；
• 快速恢复：恢复过程自动化完成，无需专业工具与复杂操作。

更新与容灾的完整链路

日常运行 ──▶ 云端/本地发布更新 ──▶ 写入备用分区
                      │
                      ▼
              本地确认（可选） ──▶ 重启切换 ──▶ 校验新系统
                      │                                │
                      │                       ✅ 通过：继续运行
                      │                                │
                      └── ❌ 失败：自动回退原系统，业务不受影响

这就是 JelinaOS 的容灾承诺：更新永远有退路，业务永远有保障。