简要回答

OTA 发布只有在团队能够证明以下条件时才可扩大范围：制品可信、目标兼容、首批队列具有代表性、健康状态可观测、暂停标准自动化、回滚能经受迁移、延迟设备有策略、且事故负责人可到位。此检查清单在发布扩大之前保持这八项控制可见。

百分比是审查辅助工具，不是发布授权。一项缺失的控制——尤其是签名验证、兼容性检查、健康门控或回滚——即使在其他七项完成的情况下，也可能足以成为暂停理由。

八项发布控制

  1. **制品签名已验证：**设备在安装前验证可信签名，并考虑了密钥轮换和吊销。
  2. **兼容性已检查：**发布目标明确指定硬件、引导加载程序、分区、依赖和当前版本条件。
  3. **代表性灰度队列：**早期设备覆盖相关硬件、地理、网络质量、使用场景和运营关键性，而非仅限于实验室友好设备。
  4. **启动与应用健康：**遥测能区分下载、验证、安装、重启、启动完成、应用就绪和更新后行为。
  5. **自动暂停阈值：**可测量的失败、崩溃、回滚、延迟、电池或业务阈值在触发时自动停止扩大范围，无需等待会议。
  6. **数据迁移后回滚：**恢复已使用变更的模式、配置和持久化状态进行测试——而非仅限于无状态二进制替换。
  7. **离线与低电量策略：**延迟、休眠、带宽受限或电量受限的设备有明确的准入和过期规则。
  8. **负责人与事故通道：**指定的决策者可以暂停、恢复或回滚，并有到工程和运维证据的实时通道。

结果计算方式

评分为：

已勾选控制项 ÷ 8 × 100

所有控制项权重相等，使计算保持透明。结果报告有多少提示已有证据；它不量化发布风险。因此摘要要求在存在缺口时保持授权边界狭窄，即使达到 100%，也应在批准前进行故障演练。

示例分析

假设团队已检查制品签名、兼容性、灰度队列、应用健康、离线策略和事故归属。八项中的六项产生 75% 的证据结果。自动暂停阈值和数据迁移后回滚仍然待完成。

该发布不应仅因为大多数项目已勾选就推进。团队可以定义暂停阈值——例如基于产品特定的启动或应用失败信号——并验证发布编排系统在阈值触发时确实停止。然后更新代表性设备，迁移持久化状态，强制回滚，验证软件和数据均恢复到受支持的状态。证据应包括设备端状态、平台端发布状态和决策日志。

局限性与审批边界

此检查清单不检查制品、签名、清单、设备、发布服务、遥测流或回滚镜像。它无法验证加密信任、衡量队列质量、选择安全阈值、确定合规性，或决定特定失败率是否可接受。它不覆盖所有问题，如下载真实性元数据、密钥仪式、防回滚规则、安全启动、存储耗尽、增量更新依赖、出厂恢复、区域容量、用户同意或安全风险。

证据必须针对特定产品。一个消费级灯具、远程工业控制器和联网医疗设备不能仅仅因为共享 OTA 机制就共用一套审批标准。

隐私与可携带的审查状态

八项复选框状态在本地处理，并在审查后编码为当前 URL 中的简单标志。这使状态可以无服务器地重新打开或分享。URL 不包含制品名、客户、设备 ID、事故备注或证据附件，因为工具不收集这些信息。即使是完成模式在活跃发布期间也可能敏感，请有意识地分享。

复制和 JSON、CSV、Markdown 导出均在本地生成。不发送任何检查清单状态或结果到 IoT 01。

常见问题

灰度发布前需要勾选每一项吗？

灰度本身是收集证据的一部分，但灰度仍须有可信制品、兼容性控制、可观测健康、有界队列和能停止它的人。不要用生产设备来发现回滚不可行。

自动回滚总是更安全吗？

不一定。回滚可能重复失败、损坏已迁移的状态或造成震荡。自动暂停通常是第一不变量；回滚策略需要产品特定的证据。

什么算作代表性？

队列应覆盖可能实质性地改变更新行为的硬件、固件来源、网络、电源、地理位置、工作负载和运营条件。

相关指南

使用规划分阶段 OTA 发布来定义队列、准入条件、健康门控、扩大决策、暂停行为和每个阶段的证据。