更新與災難復原機制

對於分散部署、無人值守的邊緣裝置，“如何安全地更新”與“如何持續地執行”同樣重要。JelinaOS 透過 A/B 雙系統 + 智慧切換策略 + 多種更新通道 的組合，讓更新與災難復原成為一個整體解決方案。

A/B 雙系統：更新有退路

工作原理

更新前                      更新中                      更新後（檢查通過）
┌──────────┐                ┌──────────┐                ┌──────────┐
│ System A │ ◀── 目前執行  │ System A │ ◀── 繼續執行  │ System A │ ◀── 繼續執行
│ System B │                │ System B │ ◀── 寫入新版本│ System B │ ✅ 檢查通過
└──────────┘                └──────────┘                └──────────┘
                                                        下次啟動切換至 B

• 裝置始終執行在某一套系統上，更新只寫入另一套；
• 更新完成後，系統在下次啟動時自動切換，並檢查新系統的健康狀況；
• 若新系統啟動失敗或檢查異常，自動回退到原系統——裝置照常執行，更新失敗如同沒有發生。

與普通雙系統的區別

傳統雙系統是“手動選擇進哪個系統”，兩個系統各自積累狀態、互不相關。JelinaOS 的 A/B 雙系統則是：

• 兩套系統內容互為備份，均為出廠狀態；
• 執行期間所有寫入統一進入資料分割區，與系統無關；
• 切換由啟動策略自動完成，無需人工干預。

更新通道

JelinaOS 提供多種更新方式，覆蓋不同場景：

更新通道	適用場景	說明
雲端 OTA	裝置接入 JelinaCloud	雲端編排更新計畫，批次下發，支援固定版本與分批執行
本機 OTA	離線或本機管控環境	透過裝置端工具應用更新套件，現場人員可控
離線更新套件	網路不可達的偏遠站點	下載更新套件後離線應用，覆蓋系統/核心/代理/應用
增量更新	頻寬受限的現場	只傳輸變化部分，顯著減少下載量與更新耗時

更新確認機制

對於關鍵現場，JelinaOS 支援更新需本機確認的保護能力：

• 雲端釋出的新版本到達裝置後，先儲存在裝置端，不會立即執行；
• 現場人員確認後，更新才開始安裝；
• 現場人員擁有最終決定權，避免“雲端一鍵更新”帶來的現場風險。

系統健康守護

啟動檢查

每次啟動時，系統都會檢查目前系統分割區的完整性。異常時自動嘗試另一套系統，確保裝置總能進入可用狀態。

看門狗

系統級看門狗持續監控執行狀態：

• 檢測到系統無回應或關鍵服務異常時自動介入；
• 可設定重新啟動策略與恢復動作；
• 與 A/B 雙系統配合，形成“檢測 → 恢復 → 兜底”的完整鏈路。

自動修復

當系統出現錯誤時，內建策略可自動觸發修復流程：優先嚐試在目前系統內修復，必要時切換至備用系統，最大限度減少人工介入。

還原原廠設定

需要將裝置恢復到初始狀態時，可以透過恢復分割區完成：

• 一鍵重置：還原原廠設定會將系統與使用者寫入恢復到出廠狀態，裝置如同全新安裝；
• 資料保護：如有需要保留的重要資料，請在操作前提前備份；
• 快速恢復：恢復過程自動化完成，無需專業工具與複雜操作。

更新與災難復原的完整鏈路

日常執行 ──▶ 雲端/本機釋出更新 ──▶ 寫入備用分割區
                      │
                      ▼
              本機確認（可選） ──▶ 重新啟動切換 ──▶ 檢查新系統
                      │                                │
                      │                       ✅ 通過：繼續執行
                      │                                │
                      └── ❌ 失敗：自動回退原系統，業務不受影響

這就是 JelinaOS 的災難復原承諾：更新永遠有退路，業務永遠有保障。