低带宽设备更新的“补丁最小化 + 可回滚”审计器

1 · 创新命题

中 面向使用蜂窝或卫星低带宽连接的远程传感器维护者，做一个更新打包与审计器：在 RAUC/Mender 类 A/B 更新框架上比较整镜像、文件级与块级差分，只在满足签名、断电回滚和闪存写入预算时推荐最小包； 相对“包越小越好”，把流量、失败恢复时间与存储磨损放进同一决策表。 EN An update packager and auditor for remotely connected sensors that recommends full-image, file-level or block-delta updates only after checking signatures, power-loss rollback and flash-write budget, optimizing bandwidth without sacrificing recoverability.

2 · 背景与空白

Mender、RAUC、SWUpdate 与 Uptane 提供嵌入式更新和安全框架；bsdiff、zstd patch 等能缩小差分，具体 集成能力按版本 需核实。差分更新可能因基线漂移无法应用，也可能增加随机写和回滚复杂度。 空白在：为低带宽小设备给出公开、可复现的“包大小—更新时间—断电恢复—写放大”选择边界， 而不是只展示压缩率。项目不发明更新协议，贡献是多约束审计和失败数据。

3 · 可检验假设

H1 对 ≥ 30 对固定固件版本，受审计的块/文件差分相对整镜像使传输字节中位数降低 ≥ 60%，同时 100 次随机断电注入后启动成功率 ≥ 99%，回滚时间 95 分位不高于整镜像方案 1.5 倍。 H2（机制）当二进制布局变化超过某阈值时，块差分的写放大与失败率抵消流量收益，审计器能在 独立测试集上识别 ≥ 90% 这类“不该差分”的版本对。

4 · 量化验收标准

1. 【方法学校验 · 硬门槛】 用自建台架复现 RAUC 或 Mender 官方至少 6 个安装、签名拒绝、 A/B 回滚和断电恢复算例；最终分区哈希与参考镜像 100% 一致，状态转换无偏差。 此条不过，后续全部结论无效。
2. ≥ 30 版本对、每策略 ≥ 10 次；版本与文件必须公开或自建，不使用无权固件。
3. 传输量/恢复时间为重尾，报中位数、IQR、95 分位，不报均值；按项目划分版本对，防止相邻版本泄漏。
4. 数值/系统收敛检查：断电注入次数从 50 增至 100 后失败率区间稳定；报告分区哈希与写入字节守恒。
5. 每个包验证签名、版本防回滚与基线哈希；未验证基线不得应用差分。

5 · 数据与工具

用途	来源 / 工具
台架	Raspberry Pi 4 + 高耐久 microSD/USB 存储 + 可编程 USB 继电器；具体价格 需核实
更新框架	RAUC 或 Mender 二选一主线；A/B 与 bootloader 集成需自己配置
差分	bsdiff、zstd patch 或框架内置能力；是否支持流式/回滚 需核实
故障注入	可编程继电器随机断电、串口启动日志；不得在生产设备测试
校验	官方 demo 与文档状态机 —— 仅用于校验与对比，不计入数据贡献

能力边界：microSD 写入量不是所有闪存寿命的通用代理。致命错误是只报压缩率、不做断电回滚； 远程设备一次变砖的现场成本可能超过全部流量节省。

链路实验应在可控限速/丢包网络中进行，分别测首包失败、下载中断、写入中断和首次启动失败，不能把 “下载完成”当作更新成功。每次实验记录旧/新版本哈希、已传字节、写入字节、启动槽和回滚原因； 只有应用通过健康检查并确认新槽后才算成功，这套状态证据本身就是产品收据。 单位经济要使用当地运营商可核实的流量费区间与一次现场维护的时间区间；无法取得报价时写“需核实”， 不编造节省金额。结果应给出达到盈亏平衡所需更新次数，而非承诺所有远程设备都划算。

6 · 赛季执行路径

1. 第 1–2 周：A/B 台架与六个官方算例硬门槛。
2. 第 3 周：实现整镜像基线、签名与版本防回滚。
3. 第 4–5 周：30 版本对三策略打包；记录布局变化特征。
4. 第 6–7 周：传输/写放大测量；第 8 周 100 次随机断电。
5. 第 9 周：H2 决策边界与项目级留出；第 10 周模拟低带宽链路。
6. 第 11–12 周：BOM、现场维护单位经济、简述与演示。

7 · 新颖性边界

不声称：不发明 OTA、差分算法或 A/B 分区；不证明适用于所有闪存与 bootloader。 已有工作：Mender、RAUC、SWUpdate、Uptane 提供更新框架；bsdiff 等提供差分。 本项目贡献是把流量收益、写放大、签名、断电恢复与基线漂移合成可审计选择规则，并公开失败边界。 护城河类型：零资源（B，低带宽）+ 存量改造（C）；跨硬件/版本失败数据集是壁垒。

8 · go/no-go

第 2 周末：六个算例中任一回滚失败，具名降级为 QEMU/框架官方虚拟设备更新实验，保留状态机 与包选择主结论，不声称实机可靠性。 第 5 周末：可稳定构建版本对 < 20，限定为单一 Raspberry Pi OS 应用镜像；第 8 周若 100 次断电 成功率 < 95%，停止推荐差分，转为“何时必须整镜像”的否定边界研究。