Målgruppe: Denne veiledningen er for OEM-kjøpere, IT-ansvarlige i skoler og merkevareiere som må kunne forsvare påliteligheten til en flåte på 500 til 50 000 tilkoblede lesepenner. Den forklarer OTA-utrullingsringene, sikkerhetsnettet med to partisjoner, rollback-tersklene og feltdataene fra 86 firmware-utgivelser levert mellom 2023 og 2026 på de elleve produksjonsmodellene B1, B2, F8, K7, KF1, L5, P2, Q6, Q8, T2 og Y6.
En firmwareoppdatering på et barneprodukt er ikke en rutinepreget serverdistribusjon. Hvis tretti Y6-penner i et klasserom starter på nytt i feil øyeblikk, er timen over. Hvis en OTA-payload korrupteres midt i flashingen, sitter en femåring med en «murstein» i hånden. OTA-mekanismen bak våre elleve lesepenn-modeller finnes for å gjøre begge utfall statistisk umulige. Vi har levert 86 firmware-utgivelser siden lansering, med en median installasjonssuksess på 98,7 % og en «brick rate» på 0,04 % målt på 47 000+ utplasserte penner. Denne artikkelen bryter ned hvordan dette tallet oppnås.
Vi dekker den firedelte utrullingen, A/B-partisjonsoppsettet, den signerte manifestkjeden, det brukerbekreftede installasjonsvinduet, helsesjekken før commit, rollback-tersklene, spilleboken for feilmoduser og dataene fabrikken gjør tilgjengelig for distributører etter hver utgivelse.
1. Den firedelte utrullingsringen
Hver firmwareutgivelse passerer gjennom fire ringer. Trinn 1 er den interne kanariutgivelsen: QA-teamets 240 penner i to bygninger kjører kandidatversjonen i 72 timer. Trinn 2 er ringen med vennlige brukere på 1 200 penner fordelt på ansatte, to skolepartnere i Shenzhen og tre frivillige distributørkontorer i Kairo, Manila og São Paulo. Trinn 3 utvides til 8 % av produksjonsflåten, fordelt etter modell og geografi. Trinn 4 er full flåteurulling, styrt av helsemålinger fra Trinn 3.
Hvert trinn har en hard go/no-go-sjekk. Trinn 1 feiler ved enhver krasj-signatur; Trinn 2 feiler ved enhver regresjon på foreldredashbordet; Trinn 3 feiler hvis returraten over 24 timer overstiger 0,6 %, eller hvis noen region rapporterer en stigning i supporttickets over grunnlinjen. De fullstendige kriteriene finnes i vår interne kjørebok og er oppsummert i tabellen nedenfor.
| Trinn | Flåtestørrelse | Varighet | Hard sjekk (blokker promotering hvis brutt) |
|---|---|---|---|
| 1 Intern kanari | 240 penner | 72 t | Ethvert krasj; enhver CRC-mismatch ved flashing |
| 2 Vennlige brukere | 1 200 penner | 7 dager | Returrate > 0,3 %; dashbord p95 > 4 s |
| 3 Produksjon 8 % | ~3 760 penner | 5 dager | Returrate > 0,6 %; supporttickets > 1,4x grunnlinje |
| 4 Full utrulling | 100 % | 14 dagers innkjøring | Kontinuerlig; auto-stopp-utløser ved 1,0 % retur |
2. A/B-partisjonsoppsett per modell
Hver lesepenn siden Q6-generasjonen leveres med doble 16 MB SPI NOR-partisjoner. Den aktive partisjonen som er i bruk, booter pennen; reservepartisjonen inneholder enten forrige versjon (for rollback) eller den trinnvise kandidaten (under en OTA). Etter en vellykket installasjon og et 72-timers helseopphold beholdes forrige versjon i ytterligere 30 dager i et tredje «stash»-område som er skåret ut av samme flash. B1-, B2- og P2-inngangsmodellene deler dette oppsettet, men med 8 MB-partisjoner fordi funksjonsomfanget er mindre.
| Modell | Flash-størrelse | Aktiv partisjon | Reservepartisjon | Stash-område | Bootloader-versjon |
|---|---|---|---|---|---|
| B1 / B2 | 8 MB | 4,6 MB | 4,6 MB | 2,0 MB | 1,4 |
| F8 | 16 MB | 9,2 MB | 9,2 MB | 4,0 MB | 1,4 |
| K7 / KF1 | 16 MB | 9,6 MB | 9,6 MB | 4,0 MB | 1,4 |
| L5 | 32 MB | 18,0 MB | 18,0 MB | 6,0 MB | 2,0 |
| P2 | 8 MB | 4,4 MB | 4,4 MB | 1,8 MB | 1,3 |
| Q6 / Q8 | 16 MB | 10,4 MB | 10,4 MB | 4,0 MB | 1,6 |
| T2 / Y6 | 32 MB | 19,2 MB | 19,2 MB | 6,0 MB | 2,0 |
A/B-tilnærmingen betyr at en mislykket installasjon aldri etterlater pennen ubootbar. Hvis bootloaderen oppdager at den aktive partisjonen feiler tre påfølgende CRC-sjekker, faller den tilbake til reservepartisjonen i løpet av 4,2 sekunder. P2-inngangsmodellen er den eneste SKU-en som fortsatt bruker en en-partisjons gjenopprettingsflyt; avveiningen er en kostnadsbesparelse på 1,8 MB på BOM-en mot et lengre gjenopprettingsvindu på 11 sekunder. For skoleutrullinger anbefaler vi Q6 eller nyere fordi den doble-partisjonen A/B-flyten gir IT-teamet en ren tilbakerullingsvei.
3. Signert manifest og anti-tamper-kjede
OTA-nyttelasten starter som et signert manifest. Manifestet er et CBOR-dokument som erklærer målets modell, kildefirmware-versjonen, målets firmware-versjon, SHA-256 for hver chunk, total størrelse og en ECDSA P-256-signatur over manifestkroppen. Signeringsnøkkelen oppbevares i en HSM på fabrikken vår og roteres hver 90. dag; den offentlige nøkkelen er brent inn i bootloaderen ved flash-tidspunkt og kan ikke endres uten en fabrikk-JTAG-økt.
Hver 96 KB chunk (128 KB på Q6/Q8, 64 KB på L5/T2/Y6) er signert uavhengig. Enheten verifiserer manifestets signatur før den første chunken hentes, og verifiserer hver chunks signatur på nytt før den skrives til flash. En mislykket signatursjekk avbryter installasjonen umiddelbart og rapporterer en /status/error-hendelse med kode OTA_BAD_SIG (returkode 0x21). På tvers av 86 utgivelser har denne koden utløst 1 142 ganger på over 47 000 utrullerte penner, og hver eneste tilfelle ble sporet tilbake til en korrupt nedlasting under transport, aldri til en forfalsket nyttelast.
Kjøpertips: Når du vurderer en leverandør av lesepenner, be om den offentlige bootloader-nøkkelens fingeravtrykk og rotasjonskadansen. En fabrikk som nekter å dele fingeravtrykket, skjuler enten en usignert bootbane eller én enkelt statisk nøkkel – begge er røde flagg for tilkoblede barneprodukter.
4. Brukerbekreftet installasjonsvindu
I motsetning til en telefon som kan installere klokka 03.00, installerer en lesepenn bare når brukeren er klar. OTA-pipelinen plasserer kandidaten på reservepartisjonen mens pennen er i bruk. Når brukeren trykker og holder inne strømknappen i tre sekunder, starter pennen på nytt i installasjonsrutinen, flasher reservepartisjonen, verifiserer CRC og starter på nytt med den nye firmwaren. Hele installasjonsvinduet er mellom 18 og 42 sekunder, avhengig av modell. Pennen nekter også å installere hvis batteriet er under 30 %, USB-kabelen er tilkoblet (for å forhindre USB-strømbrudd under flashing), eller hvis barnet har en pågående quizøkt (oppdaget via den kjørende økt-tokenen i RAM).
[fiks: engelsk-rest] Den brukerbekreftede modellen har kuttet våre «murstein ved omstart»-supportbillettar med 71 % samanlikna med auto-install-metoden vi pilottesta på den opphavlege F8-fastvaren i 2023. Skulane sine IT-team set særleg pris på den tydelege sperra, fordi han gjer det mogleg å planleggje oppdateringar ved slutten av ein skuletime i staden for å bekymre seg for overraskande omstartar midt i ein økt.
5. Helseport før endelig aktivering
Når den nye firmwaren kjører på reservepartisjonen, venter enheten i 72 timer før installasjonen erklæres «committed». I løpet av dette vinduet rapporterer pennen en /status/post_ota_health-hendelse hver sjette time med beregninger: batteritelemetriens nøyaktighet innenfor ±2 %, sensorbaseline-drift under 4 %, OID-gjenkjenningslatens p95 under 220 ms og synkroniseringssuksess for foreldredashboard over 98 %. Hvis noen beregning er dårligere enn før-OTA-baselinen, ruller enheten automatisk tilbake ved neste omstart.
Helseport-logikken ligger på enheten i stedet for i skyen fordi man ikke kan gå ut fra at foreldre i husholdninger med dårlig nett er pålogget når portbeslutningen tas. Et 72-timers vindu samsvarer også med det typiske «enheten ligger i en skuff over helgen»-bruksmønsteret for B1- og P2-inngangspennene, som bare ser 4 til 5 aktive timer per uke i mange markeder.
6. Tilbakerullingsgrenser og auto-tilbakerulling
Auto-tilbakerullingsgrensen er en regresjon på mer enn 1,5 standardavvik på noen av de fire helseberegningene, målt mot den etterfølgende 14-dagers baselinen. Fabrikkens dashboard sammenligner strømmen av beregninger etter OTA med strømmen før OTA og sender ut en tilbakerullingsanbefaling hvis deltaen krysser grensen. Anbefalingen utføres deretter ved neste brukerbekreftede omstart. På tvers av 86 utgivelser har auto-tilbakerulling utløst 9 ganger, alle i løpet av fase 3 av en utrulling, og i hvert tilfelle var den berørte kohorten under 1 200 penner.
Manuell tilbakerulling via foreldredashboardet støttes også. En forelder eller lærer som legger merke til en regresjon kan trykke på «Revert to previous version» i appen; pennen mottar kommandoen på /cmd/ota og tilbakestiller ved neste brukerbekreftede omstart. Manuell tilbakerulling bruker ikke opp 30-dagers lagerbudsjettet; når tilbakestillingen er verifisert, lagres den forrige versjonen på nytt i 30 nye dager.
7. Feilmodus-spillbok
Fabrikken vedlikeholder en feil-spillbok med 14 scenarioer som dekker signaturfeil, chunk-CRC-avvik, partisjonsskrivefeil, batteribrudd, watchdog-tidsavbrudd, manifestversjonsavvik, nedgraderingsforsøk og syv til. Hvert scenario har en paret kaostest i staging og en målrettet remedieringstid. Gjennomsnittlig deteksjonstid på tvers av de 14 scenarioene er 3,6 minutter; gjennomsnittlig remedieringstid er 18 minutter. Den lengste hendelsen i 2025 var et manifestversjonsavvik i fase 2 forårsaket av et feilkonfigurert CI-flagg, oppdaget på 4 minutter, utbedret på 41 minutter, og berørte 0 penner i produksjon.
| Scenario | Deteksjon | Utbedring | Bidrag til brick-rate |
|---|---|---|---|
| Signaturavvik | Bootloader første trinn | Stopp, returner til siste gode | 0,000 % |
| Chunk CRC-avvik | Midt i flashing | Hent chunk på nytt, prøv 3x | 0,002 % |
| Batteribrudd | Spenningsovervåking | Utsett til neste brukeromstart | 0,010 % |
| Watchdog-tidsavbrudd | Maskinvare WDT | Tilbakestill, prøv på nytt fra reserve | 0,005 % |
| Forsøk på nedgradering | Oppstartspolicy | Avvis, loggfør i /status | 0,000 % |
8. Felldata fra 86 utgivelser
Siden lansering har vi sendt ut 86 firmware-versjoner som dekker de elleve produksjonsmodellene. De gjeldende versjonene er B1/B2 2.4.7, F8 3.1.2, K7/KF1 1.9.5, L5 4.2.0, P2 2.0.3, Q6/Q8 3.3.1 og T2/Y6 2.6.4. Median installasjonssuksessrate på tvers av alle utgivelser er 98,7 %. Median tid-til-installasjon er 14 minutter fra publisering i skyen til brukerbekreftet omstart. «Brick rate» er 0,04 %, målt som "penn returnert som død innen 30 dager etter OTA, med grunnårsak i OTA."
Den verste utgivelsen i vår historie var firmware 1.7.0 for K7/KF1, som hadde en regresjon i OID-sensorkalibreringsrutinen som forårsaket en returtopp på 2,4 %. Utgivelsen ble stoppet på trinn 3, de berørte 1 200 pennene på trinn 3 ble rullet tilbake innen 36 timer, og den korrigerte versjonen ble sendt ut 9 dager senere som 1.7.1. Hendelsen er dokumentert i vår offentlige post-mortem-mal og deles med OEM-partnere under NDA, slik at de kan stressteste sin egen OTA-prosedyre mot våre feilmodi.
9. Hva distributører ser etter hver utgivelse
Etter hvert fullført trinn 4 sender fabrikken et utgivelsessammendrag til hver distributør. Sammendraget inkluderer firmware-versjonen, resultatene fra utrullingsringene, endelig installasjonssuksessrate, antall «brick»-enheter, gjennomsnittlig tid-til-installasjon, antall tilbakerullinger og en liste over feilrettinger. Distributører med tilgang til OEM-portalen kan også hente en regional og en per-modell oversikt. Portalen eksponerer også en «OTA-frys»-bryter som lar en distributør pause utrullinger til sin leietaker i et definert vindu (vanligvis et skolehalvår). Bryteren etterleves innen 6 timer etter at den er aktivert.
For distributører som kjører sin egen firmware-kadans (vanligvis merkevareeiere som bruker BYOC-alternativet), viser det samme dashbordet en per-leietaker-oversikt, slik at merkevareeieren kan sammenligne sin egendefinerte versjons helse med fabrikkens referanse. En merkevare hvis egendefinerte versjon avviker mer enn 1,0 standardavvik på en helse-metrikk mottar et proaktivt varsel fra supportteamet.
FAQ: OTA-mekanisme for firmware-oppdatering av lesepenn
Relatert lesing
- IoT-skyarkitektur for lesepenn: MQTT, emner og leietakerisolasjon
- Datakryptering for lesepenn: AES-128 vs AES-256
- Batteriguide for lesepenn
- Spesifikasjonssjekkliste for lesepenn
- Hvordan velge en lesepenn-produsent
- OEM private label-tjeneste for lesepenn
- Be om tilbud for tilkoblede lesepenner
Hvis programmet ditt trenger en tilpasset OTA-kadans, en BYOC-signaturkjede eller et per-leietaker OTA-frysevindu, svar på en e-post fra teamet vårt med ordet OTA, så sender vi en OTA-prosedyre på én side tilpasset din flåte.