OTA · A/B-Updates · Signierte Images
Stromausfall bei 63 %: warum Embedded-Geräte A/B-Updates und Rollback brauchen
Jedes ausgelieferte Gerät wird aktualisiert, und ein Update ist der gefährlichste Moment in seinem Leben. Ein neues Image geht an einen Windpark, als ein Sturm einer Turbine bei 63 % des Schreibvorgangs den Strom nimmt. Eine einzelne Kopie bootet nicht mehr; A/B-Slots starten das alte System und versuchen es erneut.
Kapitel
KONZEPTFILM
Windpark, Sturm, Servicefahrzeug und Steuerplatine sind 3D-Illustrationen; die 63 % und Turbine #0417 gehören zu einem Beispielszenario, keinem realen Vorfall. Partitionsplan und LED-Zustände im Bild sind eine Animation der Update-Logik. Das einzige Datum im Bild ist der vollständige Anwendungsbeginn des EU Cyber Resilience Act.
01Was der Film zeigt
Bei einer einzelnen Kopie überschreibt das Update genau das System, auf dem das Gerät läuft. Fällt mittendrin der Strom aus, bleibt nichts Bootfähiges übrig: halb alt, halb neu, und jemand muss hinausfahren und das Gerät von Hand reparieren. Mit A/B-Slots wird das neue Image in den Slot geschrieben, der gerade nicht läuft; bei einem Stromausfall startet das Gerät das alte System und versucht es erneut. Der Bootloader wechselt nur probeweise in den neuen Slot, und der Wechsel wird erst dauerhaft, wenn das neue System meldet, dass es gesund ist. Meldet es das nie, fällt das Gerät von selbst zurück.
Jedes Image ist signiert; passt die Signatur nicht zu unserem Schlüssel, wird das Image abgewiesen und läuft nie. In Europa macht der Cyber Resilience Act Sicherheitsupdates über den gesamten Supportzeitraum zur Pflicht, vollständig anwendbar ab dem 11. Dezember 2027. Genau diese Architekturarbeit macht Spikedge: für das Update entwerfen, das fehlschlägt.
Dies ist eine 3D-Illustration eines Beispielszenarios: Windpark, Sturm und die 63 % sind kein realer Vorfall.
02Transkript
Der Film ist englisch vertont. Unter jeder Zeile steht der Originaltext; ein Klick auf den Zeitstempel startet den Film an dieser Stelle.
Jedes Gerät, das Sie ausliefern, wird aktualisiert. Viele Male.
Every device you ship will be updated. Many times.
Und ein Update ist der gefährlichste Moment in seinem Leben.
And an update is the most dangerous moment in its life.
Ein neues Image wird an die ganze Flotte verteilt.
A new image rolls out to the whole fleet.
Dann nimmt ein Sturm einer Turbine mitten im Schreiben den Strom.
Then a storm cuts the power to one turbine, mid-write.
Bei einer einzelnen Kopie überschreibt das Update das System, auf dem es läuft.
With a single copy, the update overwrites the system it is running on.
Fällt mittendrin der Strom aus, bleibt nichts Bootfähiges übrig.
Lose power halfway, and nothing bootable is left.
Jemand muss hinausfahren und es von Hand reparieren.
Someone has to drive out and fix it by hand.
Bei A/B geht das neue Image in den Slot, der gerade nicht läuft.
With A/B, the new image goes to the slot that is not running.
Stromausfall? Es startet das alte System und versucht es erneut.
Power cut? It boots the old one, and tries again.
Der Wechsel wird erst dauerhaft, wenn das neue System zeigt, dass es gesund ist.
The switch only becomes permanent once the new system proves it is healthy.
Und jedes Image ist signiert.
And every image is signed.
Wenn es nicht von uns ist, läuft es nicht.
If it isn't ours, it doesn't run.
In Europa wird die Auslieferung von Sicherheitsupdates zur Pflicht.
In Europe, shipping security updates is becoming an obligation.
Entwerfen Sie für das Update, das fehlschlägt.
Design for the update that fails.
