# Novus OS 自研分级增量更新体系完整规范

# 1\. Novus OS 自研更新架构核心体系

Novus OS 搭载完全自研、独立可控、工业级稳定的**分类补丁、分级推送、分通道灰度、断点续传、事务原子回滚、服务端统一管控**更新体系，专为自研操作系统量身设计，架构轻量化、逻辑透明、可手动调试、可全自动批量部署，为系统长期迭代、安全风控、软件运维提供标准化底层支撑。

## 1\.1 Novus OS 三大官方补丁体系（永久冻结）

- **\.hotpth 紧急安全热修复补丁**：专注高危漏洞、远程代码执行、内核提权、权限绕过等安全风险紧急兜底修复，最高系统优先级，强制静默更新

- **\.npth 系统通用累积补丁**：负责系统内核、NKM驱动、HAL层、系统基础库、核心服务的常规累积迭代、稳定性优化与功能迭代

- **\.apth 应用软件专属补丁**：面向NUC应用、第三方软件、桌面组件、用户工具的独立增量更新，隔离系统核心层与用户应用层更新逻辑

- **\.novu 全量安装包**：承接系统大版本跨代升级、首次装机、系统重置重装场景，作为增量补丁的底层兜底载体（替代已占用NUP格式，为全新自研专属后缀）

## 1\.2 Novus OS 五级官方更新推送通道（永久冻结）

系统内置自研五级更新分级机制，覆盖从紧急安全修复、稳定版本推送、灰度功能预览、普通可选更新、开发者内测更新全场景，分级策略独立、权限隔离、互不干扰，适配普通用户、进阶用户、开发者、企业批量运维全群体需求：

1. **紧急安全推送（level\_urgent）**：专属安全漏洞热修复，系统最高优先级，无拦截、无延后、强制即时修复

2. **稳定推荐推送（level\_recommend）**：系统与软件稳定版迭代更新，默认推荐安装，保障设备稳定性与兼容性

3. **版本预览推送（level\_preview）**：新功能灰度尝鲜版本，仅主动查询可见，无被动弹窗推送

4. **普通可选推送（level\_optional）**：非必要体验优化、辅助功能迭代，用户自主选择安装或忽略

5. **开发者内测推送（level\_dev）**：开发调试版、未稳定内测版本，默认隐藏，仅开发者模式解锁可见

# 2\. Novus OS 自研更新核心机制与技术规范

## 2\.1 服务端核心：全局唯一统一更新大表架构

Novus OS 远程更新服务端采用自研**单全局唯一更新索引大表**架构，为所有终端设备更新的唯一权威数据源，摒弃分散分表的复杂设计，架构极简、检索高效、运维便捷。

核心运行逻辑：

- 服务端统一收录全部 \.npth/\.apth/\.hotpth 格式补丁数据，集中管控所有版本、灰度、策略信息

- 客户端后台常驻定时轮回查询大表，静默完成版本比对与补丁匹配

- 所有复杂逻辑（版本适配、分级筛选、灰度命中、策略判定）由服务端统一完成

- 客户端仅负责下载、校验、执行更新，逻辑轻量化，降低系统资源占用与故障概率

## 2\.2 客户端核心：分层优先级更新队列机制（冻结）

系统内置固定优先级更新队列，多补丁同时存在时，严格按照既定优先级串行执行，避免更新冲突、资源抢占、版本错乱问题。

**更新执行优先级（从高至低，永久冻结）**：

\.hotpth 紧急安全热修复 \> \.npth 系统累积更新 \> \.apth 关键软件更新 \> 预览版灰度更新 \> 普通可选更新 \> Dev开发者内测更新

## 2\.3 自研事务性原子更新与智能回滚机制

- 更新前置自动快照备份系统关键文件、权限配置、版本信息，留存完整回滚镜像

- 针对更新中断、设备断电、文件异常、校验失败等所有异常场景，触发全自动事务回滚

- 严格杜绝半更新状态，保障系统文件完整性与运行稳定性

- 所有更新操作具备事务唯一性，要么全部成功生效，要么完整还原初始状态

## 2\.4 自研差分增量更新与断点续传机制

- 全系补丁默认启用字节级差分增量更新，仅传输文件变更数据块，极大降低远程更新流量开销

- 内置下载进度持久化模块，支持断网、断电、退出中断后无缝接续下载

- 安装阶段支持断点续执行，已完成的差分块、文件操作无需重复执行，提升更新效率

# 7\. Novus OS 更新体系二进制文件头规范（全局冻结｜可直接编码）

本节定义 **\.novu / \.npth / \.apth / \.hotpth** 四类更新载体的统一二进制文件头结构。所有结构体强制 `packed`、4字节对齐、字段偏移永久锁定，用于解析器精准识别文件类型、校验合法性、读取更新策略，杜绝后缀伪造、文件篡改、格式错乱。

核心设计原则：**后缀与文件头魔数强绑定、类型字段二次校验、标志位控制行为、全局哈希防篡改、预留位保证向前兼容**。

## 7\.1 全局公共定义（全部文件通用｜冻结）

```c
// 全局版本冻结
#define NOVUS_UPDATE_HDR_VER_MAJOR 1
#define NOVUS_UPDATE_HDR_VER_MINOR 0

// 文件类型枚举（永久唯一）
#define NOVU_TYPE_FULL       0   // .novu 全量安装包
#define NOVU_TYPE_SYS_PATCH  1   // .npth 系统通用补丁
#define NOVU_TYPE_APP_PATCH  2   // .apth 软件专属补丁
#define NOVU_TYPE_HOT_PATCH  3   // .hotpth 紧急热修复补丁

// 五级更新分级枚举（绑定服务端大表策略）
#define UPDATE_LVL_OPTIONAL    0
#define UPDATE_LVL_RECOMMEND   1
#define UPDATE_LVL_PREVIEW     2
#define UPDATE_LVL_URGENT      3
#define UPDATE_LVL_DEV         4

```

## 7\.2 四类文件专属魔数（防伪造｜一一对应｜冻结）

文件头魔数为第一校验依据，后缀仅为系统展示用，**解析器以魔数为准**，防止手动改后缀伪装补丁。

```c
// 小端内存序、文件存储序统一
#define NOVU_FULL_MAGIC    0x554E5653  // NVUS → .novu
#define NOVU_NPTH_MAGIC    0x50544853  // PTHS → .npth
#define NOVU_APTH_MAGIC    0x41505448  // APTH → .apth
#define NOVU_HOTPTH_MAGIC  0x484F5450  // HOTP → .hotpth

```

## 7\.3 统一标准文件头结构体（128Byte 固定｜四类文件通用）

四类更新文件共用同一套128字节头部布局，仅 `magic`、`file_type`、默认 `update_level` 不同，极大降低解析器代码冗余，同时严格隔离四类载体行为。

```c
typedef struct __attribute__((packed)) {
    // 0x00 基础魔数与版本
    uint32_t magic;               // 四类文件专属魔数
    uint16_t ver_major;
    uint16_t ver_minor;

    // 0x08 文件类型 + 更新分级
    uint8_t  file_type;           // 0=novu 1=npth 2=apth 3=hotpth
    uint8_t  update_level;        // 0~4 对应五级更新通道
    uint8_t  remote_support;      // 1=允许远程下发 0=仅本地手动安装
    uint8_t  reserved_0;

    // 0x0C 全局标志位（位掩码控制更新行为）
    uint32_t flag_bits;

    // 0x10 版本适配区间
    uint64_t target_os_ver;       // 目标适配系统版本
    uint64_t min_compat_ver;      // 最低兼容兜底版本

    // 0x20 内容块计数
    uint32_t entry_count;         // 文件操作项/资源项总数
    uint32_t delta_block_count;   // 差分块数量（全量包可为0）

    // 0x28 各区块文件偏移与长度
    uint32_t meta_offset;         // 元数据/Manifest 偏移
    uint32_t meta_len;
    uint32_t table_offset;        // 操作表/索引表偏移
    uint32_t table_len;
    uint32_t data_offset;         // 原始数据/差分数据区偏移
    uint32_t data_len;
    uint32_t snapshot_offset;     // 快照回滚哈希表偏移
    uint32_t snapshot_len;

    // 0x60 全局完整性校验
    uint8_t  file_sha256[32];     // 整包除签名区外哈希

    // 0x80 签名信息
    uint32_t sig_offset;
    uint32_t sig_len;

    // 0x88 补丁唯一ID（16位十六进制ID二进制存储）
    uint8_t  patch_uuid_bin[8];   

    // 0x90 预留填充至128字节，向前兼容扩展
    uint8_t  reserved_fill[24];
} novus_update_header_t;

```

## 7\.4 全局 Flag 位掩码定义（冻结）

统一位掩码控制各类更新行为，客户端/服务端按位判定策略。

```Plain Text
bit0  = 1 开启快照回滚
bit1  = 1 差分增量模式 / 0 全量替换模式
bit2  = 1 支持断点续传
bit3  = 1 支持内核热更新（无需重启）
bit4  = 1 允许覆盖系统只读路径
bit5  = 1 更新后自动刷新桌面/服务
bit6  = 1 远程静默安装模式
bit7  = 1 安全紧急强制兜底模式
bit8~31 保留

```

## 7\.5 四类文件头部字段差异化绑定规则（永久冻结）

统一结构体 \+ 差异化固化参数，保证格式统一、行为隔离、层级严谨。

|文件后缀|Magic|file\_type|默认 update\_level|核心行为固化|
|---|---|---|---|---|
|\.novu 全量包|NVUS|0|1（推荐级）|大版本替换、支持回滚、仅重大迭代使用|
|\.npth 系统补丁|PTHS|1|1（推荐级）|系统核心迭代、后台执行、可延后次数管控|
|\.apth 软件补丁|APTH|2|0（可选级）|用户态更新、弹窗询问、可永久忽略|
|\.hotpth 热修复|HOTP|3|3（紧急级）|最高优先级、静默强制、禁止延后、插队执行|

## 7\.6 16进制补丁UUID 二进制存储规范

对外文件名：**16位大写十六进制字符串**

对内文件头：**8字节原生二进制存储**（16Hex = 64bit）

校验逻辑双向绑定冻结：

1. 打包器由SHA256摘要截取前64bit生成唯一ID

2. 写入头部 `patch_uuid_bin[8]`

3. 同时格式化输出16位大写Hex作为文件名

4. 解析器校验：文件名Hex \<\-\> 头部二进制ID 必须一致，不一致直接拒绝安装，判定为非法篡改包

## 7\.7 头部合法性校验流水线（硬件级可靠｜冻结流程）

客户端/服务端接收任意更新文件，严格按以下顺序校验，任意一步失败直接丢弃：

1. 校验前128字节头部完整性

2. 匹配对应魔数，判定真实文件类型

3. 校验主次版本兼容

4. 校验二进制UUID与文件名一致性

5. 校验系统版本适配区间

6. 校验全局SHA256完整性

7. 校验Ed25519数字签名合法性

8. 通过后按 update\_level 进入对应更新队列

## 7\.8 区块偏移通用排布规则（四类文件统一）

所有更新文件从偏移0开始排布顺序永久固定：

**128B文件头 → Meta元数据区 → 文件操作索引表 → 差分数据表 → 数据正文区 → 快照哈希区 → 签名区**

保证解析器线性读取、无需自适应判断，极致降低解析复杂度与BUG率。

# 3\. Novus OS 自研更新体系增强策略规范

基于自研架构迭代优化，新增多项工业级增强策略，完善全场景更新能力，所有扩展规则兼容原有冻结底层结构，无破坏性变更。

## 3\.1 智能空闲时段静默更新策略

为兼顾更新时效性与用户使用体验，自研分时更新调度机制：

- \.hotpth 紧急安全补丁：不受时段限制，即时后台静默修复，优先保障系统安全

- 系统、软件常规更新：自动识别设备空闲、锁屏、夜间低活跃时段，后台静默执行更新

- 支持用户自定义免打扰时段，期间禁止非紧急类更新触发

## 3\.2 更新失败智能重试与设备自愈降级策略

- 单次更新异常失败后，系统自动触发3次梯度重试，重试间隔逐级递增，规避临时环境异常问题

- 多次重试持续失败，自动标记该补丁与当前设备不兼容，服务端自动拉黑停止推送

- 本地自动留存故障日志、更新快照、异常信息，同步上报服务端，形成运维闭环

## 3\.3 设备维度精细化灰度放量机制

服务端统一大表内置完整灰度管控逻辑，支撑版本平稳迭代：

- 支持按设备ID、设备批次、硬件机型、系统版本、用户分组精细化灰度推送

- 支持百分比放量更新，小范围验证稳定后逐步全量铺开，规避批量BUG风险

- 开发者预览、内测版本支持白名单专属推送，仅授权设备可获取更新

## 3\.4 系统后台驻留更新服务（完整后台能力闭环）

Novus OS 更新体系内置**系统级常驻后台更新守护服务**，独立于前台UI、独立生命周期、低功耗驻留系统内核服务层。所有更新检测、版本比对、下载预载、静默安装、状态同步、撤回预处理全部支持后台无感知运行，支持前台退出、锁屏待机、用户离线状态下持续完成更新全流程。

### 3\.4\.1 后台服务核心属性（系统常驻级）

- **内核级守护驻留**：更新服务为系统核心自启动服务，开机自动挂载、后台长期常驻、不受前台应用退出影响，无闪退、无后台冻结，保障更新链路持续可用

- **低资源占用调度**：后台空闲休眠、轮询时段轻量化唤醒，仅版本比对与增量校验时瞬时占用CPU，常态内存占用极低，不影响整机性能与续航

- **独立任务生命周期**：下载、校验、安装、回滚、残留清理均为后台独立任务，前台关闭设置界面、切换用户、锁屏待机不中断任务执行

- **断电续任务**：后台所有更新任务状态持久化写入系统更新注册表，重启后自动恢复未完成任务断点，接续执行剩余流程

### 3\.4\.2 后台完整可执行能力清单

所有更新核心逻辑完全后台化，无需前台介入：

- **后台静默轮询检测**：常驻后台定时轮回查询远程统一大表，自动匹配本机适配补丁、分级筛选更新队列

- **后台静默下载预载**：空闲时段后台自动下载差分补丁包，下载完成静默缓存，等待最佳安装时机，实现“开机即用最新版本”

- **后台静默校验鉴权**：后台自动完成魔数校验、UUID双向校验、SHA256完整性校验、Ed25519签名校验，非法包后台自动丢弃并日志归档

- **后台静默安装执行**：紧急安全补丁、后台许可的稳定补丁可完全后台静默安装，无弹窗、无打扰、无需用户确认

- **后台快照备份预处理**：检测到待更新任务时，后台提前异步生成增量快照，前置备好撤回环境，更新失败可瞬时回滚

- **后台残留自动清理**：更新完成、更新撤回、任务终止后，后台自动清理差分缓存、临时文件、无效配置，保持系统整洁

- **后台状态上报同步**：安装结果、撤回结果、失败日志、设备版本基线后台自动同步至远程大表，完成运维闭环

- **后台自愈重试降级**：更新异常后台自动梯度重试，多次失败后台自动标记设备兼容状态、停止推送问题补丁

### 3\.4\.3 后台任务场景适配规则

- **前台活跃场景**：仅执行检测、下载、预缓存任务，延迟高IO安装任务，避免占用系统资源、造成卡顿

- **用户空闲/锁屏场景**：自动放行全部后台安装、回滚、清理任务，全速完成更新迭代

- **低电量/流量受限场景**：后台智能节流，暂停大体积补丁下载，仅保留紧急安全热修复流程，兼顾续航与资费

- **多用户切换场景**：后台服务全局唯一，不受用户切换影响，跨用户持续完成系统级更新

### 3\.4\.4 后台权限与安全隔离机制

- 后台更新服务拥有系统专属更新权限，仅可操作更新指定文件目录与配置项，禁止越权篡改用户私有数据，权限最小化管控

- 所有后台操作全程日志溯源，记录操作时间、任务ID、执行步骤、结果状态，可审计、可追溯、可排查异常

- 非授权第三方程序禁止劫持、终止、篡改后台更新服务，保障更新链路安全不被劫持

### 3\.4\.5 后台与五级更新分级联动策略

- **level\_urgent 紧急补丁**：后台最高优先级插队执行，无视空闲策略、无视节流限制，即刻静默修复

- **level\_recommend 推荐补丁**：后台空闲自动下载、锁屏静默安装，延后次数由后台自动计数管控

- **level\_preview 预览补丁**：后台仅检测、不下发自动安装，等待用户前台确认后再执行后台任务

- **level\_optional 可选补丁**：后台仅版本比对、静默展示列表，不主动下载、不后台安装

- **level\_dev 开发补丁**：默认后台隐藏，仅开发者模式解锁后后台可见可更新

## 3\.5 更新撤回与卸载回滚子系统（工业级完整闭环）

## 3\.5 更新撤回与卸载回滚子系统（工业级完整闭环）

Novus OS 原生支持**已完成更新的可逆撤回能力**，支持所有增量补丁与小版本迭代更新一键卸载、还原更新前状态、自动清理更新残留、恢复原始文件权限与注册表配置，适配用户误更新、版本兼容异常、功能迭代不适配等场景，形成「更新\-生效\-撤回\-复原」完整闭环。

本机制为系统原生底层能力，无需重装系统、不丢失用户数据、不破坏应用环境，区分「可撤回更新」与「永久固化更新」，权限分级可控、日志全程溯源。

### 3\.5\.1 撤回适用范围界定（永久冻结规则）

四类更新载体撤回权限差异化管控：

- **\.apth 软件专属补丁**：完全支持一键撤回，卸载后恢复软件旧版本、还原旧配置，无任何残留

- **\.npth 系统通用累积补丁**：支持常规小迭代更新撤回，仅重大核心基线更新固化不可撤回

- **\.hotpth 紧急安全热修复补丁**：默认**禁止用户主动撤回**，防止安全漏洞复现；仅系统底层故障自愈时自动静默回滚

- **\.novu 全量大版本包**：支持跨版本回滚至上一稳定大版本，保留用户数据分区，还原系统基线环境

### 3\.5\.2 更新快照增量存档机制（撤回核心底层）

系统摒弃全量备份冗余方案，采用**增量快照存档**，仅备份更新被修改、替换、删除的原始文件与配置，节省磁盘空间同时保证100%可复原：

- 每次更新成功写入后，自动生成「更新快照存档」，绑定当前补丁16进制唯一UUID

- 快照内容包含：原始文件二进制备份、文件权限掩码、目录结构、系统配置快照、服务启动项状态

- 快照生命周期可控：常规补丁默认保留30天快照，紧急安全补丁永久留存快照，大版本快照保留60天

- 过期快照自动后台轻量化清理，仅保留更新日志与版本溯源记录，不影响系统运行

### 3\.5\.3 系统更新索引注册表（撤回溯源核心）

系统内置专属更新索引数据库，记录每一条已安装更新的完整元数据，为撤回功能提供精准索引：

单条更新索引固定字段：

- 补丁16进制唯一UUID、文件后缀类型、更新分级等级

- 安装时间、安装状态、是否成功生效、是否已撤回

- 关联修改文件列表、差分块映射表、快照存档存储路径

- 可撤回标记、固化锁定标记、过期清理时间戳

- 更新版本前后基线号、适配系统版本区间

所有已安装更新在系统更新列表可视化展示，支持按时间、类型、版本筛选，用户可自主选择指定更新单独撤回，支持精准单条回滚、不影响后续其他更新。

### 3\.5\.4 分层撤回执行流程（原子事务级冻结）

撤回操作全程事务化，遵循「要么完全撤回、要么原样保留」的原子原则，杜绝半撤回异常状态：

1. **前置校验**：校验补丁合法性、快照完整性、当前系统基线匹配度，检测是否存在依赖后置更新

2. **依赖检测**：若当前更新被后续高阶更新依赖，弹窗提示依赖关系，支持「连带撤回后续增量更新」或「禁止单独撤回」

3. **文件复原**：依据增量快照覆盖还原原始文件、恢复权限、修复目录结构

4. **配置回滚**：还原系统服务项、开机自启、环境变量、应用配置旧状态

5. **残留清理**：自动删除本次更新新增冗余文件、无效注册表项、废弃差分缓存

6. **状态刷新**：静默刷新系统核心服务、桌面环境、应用挂载状态，无需冗余重启（内核级变更按需提示重启）

7. **日志归档**：记录撤回时间、操作主体、回滚结果，同步更新索引数据库状态

### 3\.5\.5 特殊锁定与豁免策略

- **安全补丁锁定策略**：\.hotpth 紧急安全修复永久锁定用户撤回入口，杜绝人为关闭安全防护导致漏洞暴露

- **基线固化策略**：系统重大基线累积更新自动标记为固化版本，禁止普通用户撤回，保障系统底层稳定性

- **开发者豁免策略**：开发者模式下可解锁全部撤回权限，支持任意版本回滚，适配调试与二次开发场景

### 3\.5\.6 服务端同步撤回策略

- 客户端撤回操作自动同步上报远程统一大表，服务端更新设备版本基线状态

- 针对批量设备灰度异常更新，服务端可远程下发「批量撤回指令」，全网统一回滚问题补丁

- 已撤回的问题补丁自动降级灰度放量比例，严重问题补丁全网下架、停止推送

### 3\.5\.7 撤回能力差异化总表

|补丁类型|可用户撤回|可自动自愈回滚|快照保留周期|依赖联动策略|
|---|---|---|---|---|
|\.hotpth 紧急热修复|否（锁定保护）|是（故障自愈）|永久保留|禁止单独回滚，保障安全基线|
|\.npth 系统累积补丁|是（非基线版）|是|30天|检测后续依赖，支持连带回滚|
|\.apth 软件补丁|是（完全开放）|是|30天|独立应用隔离，无系统依赖|
|\.novu 全量版本包|是（大版本回退）|是|60天|整体基线还原，清空增量迭代记录|

## 3\.4 稳定版更新延后管控策略

- level\_recommend 稳定推荐更新，支持用户自主延后1\-3次更新，适配临时工作场景需求

- 延后次数耗尽后自动强制安装，避免设备版本长期滞后、漏洞堆积、兼容性断层问题

- 紧急安全热修复补丁不支持延后、忽略、拦截，保障系统安全底线

# 4\. Novus OS 自研更新体系能力总览表

|系统能力模块|Novus OS 自研实现方案|能力状态|
|---|---|---|
|紧急安全漏洞修复|\.hotpth 最高优先级静默热修复体系|已完全落地冻结|
|系统核心累积迭代|\.npth 系统通用增量补丁体系|已完全落地冻结|
|用户软件独立更新|\.apth 应用软件专属增量补丁体系|已完全落地冻结|
|系统大版本升级|\.novu 全量安装包兜底方案|已完全落地冻结|
|远程统一更新管控|全局唯一大表 \+ 客户端后台轮询架构|已完全落地冻结|
|五级精细化更新分级|紧急/推荐/预览/可选/开发 全通道体系|已完全落地冻结|
|字节级增量差分更新|自研Delta差分数据块更新机制|已完全落地冻结|
|原子更新与事务回滚|快照备份\+全自动异常回滚体系|已完全落地冻结|
|断点续传续更能力|下载与安装进度持久化机制|已完全落地冻结|
|智能时段调度更新|空闲识别\+免打扰时段自定义策略|待编码落地|
|精细化灰度推送管控|设备维度百分比放量\+白名单机制|已支持|
|更新失败自愈与重试|梯度重试\+设备兼容拉黑\+日志上报闭环|待编码落地|

# 5\. Novus OS 自研更新体系定位总结

Novus OS 更新体系为**100%纯自研、完全独立知识产权、工业级稳定**的操作系统原生更新架构，无任何第三方架构依赖，完全适配自研系统生态：

1. 搭建了独有的「三类补丁格式\+五级更新通道」分层更新模型，精准区分安全修复、系统迭代、软件更新场景，权责隔离、层级清晰。

2. 采用轻量化服务端大表管控\+客户端极简执行架构，兼顾批量运维效率与终端系统稳定性。

3. 融合自研差分增量、原子事务回滚、断点续更、智能调度、灰度自愈核心能力，形成安全、高效、可控、可调试的完整更新生态闭环。

# 6\. 后续开发落地清单

- 落地客户端智能空闲时段识别与分时更新调度逻辑

- 实现更新失败梯度重试、自愈检测、设备兼容拉黑机制

- 完善服务端大表设备维度百分比灰度推送、放量管控逻辑

- 完成稳定版更新延后次数统计、阈值管控、强制更新策略模块开发