Novus OS 自研分级增量更新体系完整规范

1. Novus OS 自研更新架构核心体系

Novus OS 搭载完全自研、独立可控、工业级稳定的分类补丁、分级推送、分通道灰度、断点续传、事务原子回滚、服务端统一管控更新体系，专为自研操作系统量身设计，架构轻量化、逻辑透明、可手动调试、可全自动批量部署，为系统长期迭代、安全风控、软件运维提供标准化底层支撑。

1.1 Novus OS 三大官方补丁体系（永久冻结）

1.2 Novus OS 五级官方更新推送通道（永久冻结）

系统内置自研五级更新分级机制，覆盖从紧急安全修复、稳定版本推送、灰度功能预览、普通可选更新、开发者内测更新全场景，分级策略独立、权限隔离、互不干扰，适配普通用户、进阶用户、开发者、企业批量运维全群体需求：

  1. 紧急安全推送（level_urgent）：专属安全漏洞热修复，系统最高优先级，无拦截、无延后、强制即时修复

  2. 稳定推荐推送（level_recommend）：系统与软件稳定版迭代更新，默认推荐安装，保障设备稳定性与兼容性

  3. 版本预览推送（level_preview）：新功能灰度尝鲜版本，仅主动查询可见，无被动弹窗推送

  4. 普通可选推送（level_optional）：非必要体验优化、辅助功能迭代，用户自主选择安装或忽略

  5. 开发者内测推送（level_dev）：开发调试版、未稳定内测版本，默认隐藏，仅开发者模式解锁可见

2. Novus OS 自研更新核心机制与技术规范

2.1 服务端核心：全局唯一统一更新大表架构

Novus OS 远程更新服务端采用自研单全局唯一更新索引大表架构，为所有终端设备更新的唯一权威数据源，摒弃分散分表的复杂设计，架构极简、检索高效、运维便捷。

核心运行逻辑：

2.2 客户端核心：分层优先级更新队列机制（冻结）

系统内置固定优先级更新队列，多补丁同时存在时，严格按照既定优先级串行执行，避免更新冲突、资源抢占、版本错乱问题。

更新执行优先级（从高至低，永久冻结）：

.hotpth 紧急安全热修复 > .npth 系统累积更新 > .apth 关键软件更新 > 预览版灰度更新 > 普通可选更新 > Dev开发者内测更新

2.3 自研事务性原子更新与智能回滚机制

2.4 自研差分增量更新与断点续传机制

7. Novus OS 更新体系二进制文件头规范（全局冻结｜可直接编码）

本节定义 .novu / .npth / .apth / .hotpth 四类更新载体的统一二进制文件头结构。所有结构体强制 packed、4字节对齐、字段偏移永久锁定，用于解析器精准识别文件类型、校验合法性、读取更新策略，杜绝后缀伪造、文件篡改、格式错乱。

核心设计原则：后缀与文件头魔数强绑定、类型字段二次校验、标志位控制行为、全局哈希防篡改、预留位保证向前兼容。

7.1 全局公共定义（全部文件通用｜冻结）

// 全局版本冻结
#define NOVUS_UPDATE_HDR_VER_MAJOR 1
#define NOVUS_UPDATE_HDR_VER_MINOR 0

// 文件类型枚举（永久唯一）
#define NOVU_TYPE_FULL       0   // .novu 全量安装包
#define NOVU_TYPE_SYS_PATCH  1   // .npth 系统通用补丁
#define NOVU_TYPE_APP_PATCH  2   // .apth 软件专属补丁
#define NOVU_TYPE_HOT_PATCH  3   // .hotpth 紧急热修复补丁

// 五级更新分级枚举（绑定服务端大表策略）
#define UPDATE_LVL_OPTIONAL    0
#define UPDATE_LVL_RECOMMEND   1
#define UPDATE_LVL_PREVIEW     2
#define UPDATE_LVL_URGENT      3
#define UPDATE_LVL_DEV         4

7.2 四类文件专属魔数（防伪造｜一一对应｜冻结）

文件头魔数为第一校验依据，后缀仅为系统展示用，解析器以魔数为准，防止手动改后缀伪装补丁。

// 小端内存序、文件存储序统一
#define NOVU_FULL_MAGIC    0x554E5653  // NVUS → .novu
#define NOVU_NPTH_MAGIC    0x50544853  // PTHS → .npth
#define NOVU_APTH_MAGIC    0x41505448  // APTH → .apth
#define NOVU_HOTPTH_MAGIC  0x484F5450  // HOTP → .hotpth

7.3 统一标准文件头结构体（128Byte 固定｜四类文件通用）

四类更新文件共用同一套128字节头部布局，仅 magic、file_type、默认 update_level 不同，极大降低解析器代码冗余，同时严格隔离四类载体行为。

typedef struct __attribute__((packed)) {
    // 0x00 基础魔数与版本
    uint32_t magic;               // 四类文件专属魔数
    uint16_t ver_major;
    uint16_t ver_minor;

    // 0x08 文件类型 + 更新分级
    uint8_t  file_type;           // 0=novu 1=npth 2=apth 3=hotpth
    uint8_t  update_level;        // 0~4 对应五级更新通道
    uint8_t  remote_support;      // 1=允许远程下发 0=仅本地手动安装
    uint8_t  reserved_0;

    // 0x0C 全局标志位（位掩码控制更新行为）
    uint32_t flag_bits;

    // 0x10 版本适配区间
    uint64_t target_os_ver;       // 目标适配系统版本
    uint64_t min_compat_ver;      // 最低兼容兜底版本

    // 0x20 内容块计数
    uint32_t entry_count;         // 文件操作项/资源项总数
    uint32_t delta_block_count;   // 差分块数量（全量包可为0）

    // 0x28 各区块文件偏移与长度
    uint32_t meta_offset;         // 元数据/Manifest 偏移
    uint32_t meta_len;
    uint32_t table_offset;        // 操作表/索引表偏移
    uint32_t table_len;
    uint32_t data_offset;         // 原始数据/差分数据区偏移
    uint32_t data_len;
    uint32_t snapshot_offset;     // 快照回滚哈希表偏移
    uint32_t snapshot_len;

    // 0x60 全局完整性校验
    uint8_t  file_sha256[32];     // 整包除签名区外哈希

    // 0x80 签名信息
    uint32_t sig_offset;
    uint32_t sig_len;

    // 0x88 补丁唯一ID（16位十六进制ID二进制存储）
    uint8_t  patch_uuid_bin[8];   

    // 0x90 预留填充至128字节，向前兼容扩展
    uint8_t  reserved_fill[24];
} novus_update_header_t;

7.4 全局 Flag 位掩码定义（冻结）

统一位掩码控制各类更新行为，客户端/服务端按位判定策略。

bit0  = 1 开启快照回滚
bit1  = 1 差分增量模式 / 0 全量替换模式
bit2  = 1 支持断点续传
bit3  = 1 支持内核热更新（无需重启）
bit4  = 1 允许覆盖系统只读路径
bit5  = 1 更新后自动刷新桌面/服务
bit6  = 1 远程静默安装模式
bit7  = 1 安全紧急强制兜底模式
bit8~31 保留

7.5 四类文件头部字段差异化绑定规则（永久冻结）

统一结构体 + 差异化固化参数，保证格式统一、行为隔离、层级严谨。

文件后缀 Magic file_type 默认 update_level 核心行为固化
.novu 全量包 NVUS 0 1（推荐级） 大版本替换、支持回滚、仅重大迭代使用
.npth 系统补丁 PTHS 1 1（推荐级） 系统核心迭代、后台执行、可延后次数管控
.apth 软件补丁 APTH 2 0（可选级） 用户态更新、弹窗询问、可永久忽略
.hotpth 热修复 HOTP 3 3（紧急级） 最高优先级、静默强制、禁止延后、插队执行

7.6 16进制补丁UUID 二进制存储规范

对外文件名：16位大写十六进制字符串

对内文件头：8字节原生二进制存储（16Hex = 64bit）

校验逻辑双向绑定冻结：

  1. 打包器由SHA256摘要截取前64bit生成唯一ID

  2. 写入头部 patch_uuid_bin[8]

  3. 同时格式化输出16位大写Hex作为文件名

  4. 解析器校验：文件名Hex <-> 头部二进制ID 必须一致，不一致直接拒绝安装，判定为非法篡改包

7.7 头部合法性校验流水线（硬件级可靠｜冻结流程）

客户端/服务端接收任意更新文件，严格按以下顺序校验，任意一步失败直接丢弃：

  1. 校验前128字节头部完整性

  2. 匹配对应魔数，判定真实文件类型

  3. 校验主次版本兼容

  4. 校验二进制UUID与文件名一致性

  5. 校验系统版本适配区间

  6. 校验全局SHA256完整性

  7. 校验Ed25519数字签名合法性

  8. 通过后按 update_level 进入对应更新队列

7.8 区块偏移通用排布规则（四类文件统一）

所有更新文件从偏移0开始排布顺序永久固定：

128B文件头 → Meta元数据区 → 文件操作索引表 → 差分数据表 → 数据正文区 → 快照哈希区 → 签名区

保证解析器线性读取、无需自适应判断，极致降低解析复杂度与BUG率。

3. Novus OS 自研更新体系增强策略规范

基于自研架构迭代优化，新增多项工业级增强策略，完善全场景更新能力，所有扩展规则兼容原有冻结底层结构，无破坏性变更。

3.1 智能空闲时段静默更新策略

为兼顾更新时效性与用户使用体验，自研分时更新调度机制：

3.2 更新失败智能重试与设备自愈降级策略

3.3 设备维度精细化灰度放量机制

服务端统一大表内置完整灰度管控逻辑，支撑版本平稳迭代：

3.4 系统后台驻留更新服务（完整后台能力闭环）

Novus OS 更新体系内置系统级常驻后台更新守护服务，独立于前台UI、独立生命周期、低功耗驻留系统内核服务层。所有更新检测、版本比对、下载预载、静默安装、状态同步、撤回预处理全部支持后台无感知运行，支持前台退出、锁屏待机、用户离线状态下持续完成更新全流程。

3.4.1 后台服务核心属性（系统常驻级）

3.4.2 后台完整可执行能力清单

所有更新核心逻辑完全后台化，无需前台介入：

3.4.3 后台任务场景适配规则

3.4.4 后台权限与安全隔离机制

3.4.5 后台与五级更新分级联动策略

3.5 更新撤回与卸载回滚子系统（工业级完整闭环）

3.5 更新撤回与卸载回滚子系统（工业级完整闭环）

Novus OS 原生支持已完成更新的可逆撤回能力，支持所有增量补丁与小版本迭代更新一键卸载、还原更新前状态、自动清理更新残留、恢复原始文件权限与注册表配置，适配用户误更新、版本兼容异常、功能迭代不适配等场景，形成「更新-生效-撤回-复原」完整闭环。

本机制为系统原生底层能力，无需重装系统、不丢失用户数据、不破坏应用环境，区分「可撤回更新」与「永久固化更新」，权限分级可控、日志全程溯源。

3.5.1 撤回适用范围界定（永久冻结规则）

四类更新载体撤回权限差异化管控：

3.5.2 更新快照增量存档机制（撤回核心底层）

系统摒弃全量备份冗余方案，采用增量快照存档，仅备份更新被修改、替换、删除的原始文件与配置，节省磁盘空间同时保证100%可复原：

3.5.3 系统更新索引注册表（撤回溯源核心）

系统内置专属更新索引数据库，记录每一条已安装更新的完整元数据，为撤回功能提供精准索引：

单条更新索引固定字段：

所有已安装更新在系统更新列表可视化展示，支持按时间、类型、版本筛选，用户可自主选择指定更新单独撤回，支持精准单条回滚、不影响后续其他更新。

3.5.4 分层撤回执行流程（原子事务级冻结）

撤回操作全程事务化，遵循「要么完全撤回、要么原样保留」的原子原则，杜绝半撤回异常状态：

  1. 前置校验：校验补丁合法性、快照完整性、当前系统基线匹配度，检测是否存在依赖后置更新

  2. 依赖检测：若当前更新被后续高阶更新依赖，弹窗提示依赖关系，支持「连带撤回后续增量更新」或「禁止单独撤回」

  3. 文件复原：依据增量快照覆盖还原原始文件、恢复权限、修复目录结构

  4. 配置回滚：还原系统服务项、开机自启、环境变量、应用配置旧状态

  5. 残留清理：自动删除本次更新新增冗余文件、无效注册表项、废弃差分缓存

  6. 状态刷新：静默刷新系统核心服务、桌面环境、应用挂载状态，无需冗余重启（内核级变更按需提示重启）

  7. 日志归档：记录撤回时间、操作主体、回滚结果，同步更新索引数据库状态

3.5.5 特殊锁定与豁免策略

3.5.6 服务端同步撤回策略

3.5.7 撤回能力差异化总表

补丁类型 可用户撤回 可自动自愈回滚 快照保留周期 依赖联动策略
.hotpth 紧急热修复 否（锁定保护） 是（故障自愈） 永久保留 禁止单独回滚，保障安全基线
.npth 系统累积补丁 是（非基线版） 是 30天 检测后续依赖，支持连带回滚
.apth 软件补丁 是（完全开放） 是 30天 独立应用隔离，无系统依赖
.novu 全量版本包 是（大版本回退） 是 60天 整体基线还原，清空增量迭代记录

3.4 稳定版更新延后管控策略

4. Novus OS 自研更新体系能力总览表

系统能力模块 Novus OS 自研实现方案 能力状态
紧急安全漏洞修复 .hotpth 最高优先级静默热修复体系 已完全落地冻结
系统核心累积迭代 .npth 系统通用增量补丁体系 已完全落地冻结
用户软件独立更新 .apth 应用软件专属增量补丁体系 已完全落地冻结
系统大版本升级 .novu 全量安装包兜底方案 已完全落地冻结
远程统一更新管控 全局唯一大表 + 客户端后台轮询架构 已完全落地冻结
五级精细化更新分级 紧急/推荐/预览/可选/开发 全通道体系 已完全落地冻结
字节级增量差分更新 自研Delta差分数据块更新机制 已完全落地冻结
原子更新与事务回滚 快照备份+全自动异常回滚体系 已完全落地冻结
断点续传续更能力 下载与安装进度持久化机制 已完全落地冻结
智能时段调度更新 空闲识别+免打扰时段自定义策略 待编码落地
精细化灰度推送管控 设备维度百分比放量+白名单机制 已支持
更新失败自愈与重试 梯度重试+设备兼容拉黑+日志上报闭环 待编码落地

5. Novus OS 自研更新体系定位总结

Novus OS 更新体系为100%纯自研、完全独立知识产权、工业级稳定的操作系统原生更新架构，无任何第三方架构依赖，完全适配自研系统生态：

  1. 搭建了独有的「三类补丁格式+五级更新通道」分层更新模型，精准区分安全修复、系统迭代、软件更新场景，权责隔离、层级清晰。

  2. 采用轻量化服务端大表管控+客户端极简执行架构，兼顾批量运维效率与终端系统稳定性。

  3. 融合自研差分增量、原子事务回滚、断点续更、智能调度、灰度自愈核心能力，形成安全、高效、可控、可调试的完整更新生态闭环。

6. 后续开发落地清单

Revision #2
Created 2026-10-31 11:25:39 UTC by Admin
Updated 2026-10-31 11:25:59 UTC by Admin