Откат неудачного обновления

Даже при осторожной установке OTA иногда загружается неисправный код. Надёжная стратегия должна предусматривать возможность отката к действительно работающей прошивке.

Если новая прошивка не может подключиться к WiFi, Вы теряете саму возможность OTA. Без защиты устройство превращается в бесполезный «кирпич».

ESP32 хранит старое приложение в одном разделе, пока записывает новое в другой. Предыдущая сборка остаётся неповреждённой, если она понадобится.

После обновления новая версия запускается в состоянии ожидания подтверждения. Ваш код должен доказать, что она работает, а затем подтвердить образ, чтобы сделать его постоянным.

Перед подтверждением выполните быструю проверку работоспособности: подключился ли WiFi, отвечают ли важные датчики? Только после этого помечайте сборку как рабочую.

Если ожидающая подтверждения сборка аварийно завершает работу или перезагружается до подтверждения, загрузчик самостоятельно возвращается к последней рабочей прошивке.

При неудачной проверке Вы также можете программно вернуть предыдущий образ с помощью esp_ota_mark_app_invalid_rollback_and_reboot().

Сторожевой таймер перезапускает зависшую плату. В сочетании с откатом он возвращает зависшее обновление к рабочему коду.

Помечайте каждую сборку номером версии, который можно вывести через Serial, чтобы сразу понимать, какой образ сейчас работает.

Никогда не обновляйте весь парк устройств одновременно. Обновите одно тестовое устройство, понаблюдайте за ним и только потом разворачивайте обновление широко. 🐤

В худшем случае USB-кабель всё ещё позволит перепрошить любую плату. Проектируйте систему так, чтобы неудачное OTA было лишь неудобством, а не безвозвратной потерей.

Используйте два раздела, выполняйте самопроверку и подтверждайте каждую сборку, полагайтесь на автоматический откат и сторожевой таймер, а также всегда сохраняйте возможность восстановления через USB. 🛡️