Novus OS 自研分级增量更新体系完整规范 1. Novus OS 自研更新架构核心体系 Novus OS 搭载完全自研、独立可控、工业级稳定的分类补丁、分级推送、分通道灰度、断点续传、事务原子回滚、服务端统一管控更新体系，专为自研操作系统量身设计，架构轻量化、逻辑透明、可手动调试、可全自动批量部署，为系统长期迭代、安全风控、软件运维提供标准化底层支撑。 1.1 Novus OS 三大官方补丁体系（永久冻结） .hotpth 紧急安全热修复补丁：专注高危漏洞、远程代码执行、内核提权、权限绕过等安全风险紧急兜底修复，最高系统优先级，强制静默更新 .npth 系统通用累积补丁：负责系统内核、NKM驱动、HAL层、系统基础库、核心服务的常规累积迭代、稳定性优化与功能迭代 .apth 应用软件专属补丁：面向NUC应用、第三方软件、桌面组件、用户工具的独立增量更新，隔离系统核心层与用户应用层更新逻辑 .novu 全量安装包：承接系统大版本跨代升级、首次装机、系统重置重装场景，作为增量补丁的底层兜底载体（替代已占用NUP格式，为全新自研专属后缀） 1.2 Novus OS 五级官方更新推送通道（永久冻结） 系统内置自研五级更新分级机制，覆盖从紧急安全修复、稳定版本推送、灰度功能预览、普通可选更新、开发者内测更新全场景，分级策略独立、权限隔离、互不干扰，适配普通用户、进阶用户、开发者、企业批量运维全群体需求： 紧急安全推送（level_urgent）：专属安全漏洞热修复，系统最高优先级，无拦截、无延后、强制即时修复 稳定推荐推送（level_recommend）：系统与软件稳定版迭代更新，默认推荐安装，保障设备稳定性与兼容性 版本预览推送（level_preview）：新功能灰度尝鲜版本，仅主动查询可见，无被动弹窗推送 普通可选推送（level_optional）：非必要体验优化、辅助功能迭代，用户自主选择安装或忽略 开发者内测推送（level_dev）：开发调试版、未稳定内测版本，默认隐藏，仅开发者模式解锁可见 2. Novus OS 自研更新核心机制与技术规范 2.1 服务端核心：全局唯一统一更新大表架构 Novus OS 远程更新服务端采用自研单全局唯一更新索引大表架构，为所有终端设备更新的唯一权威数据源，摒弃分散分表的复杂设计，架构极简、检索高效、运维便捷。 核心运行逻辑： 服务端统一收录全部 .npth/.apth/.hotpth 格式补丁数据，集中管控所有版本、灰度、策略信息 客户端后台常驻定时轮回查询大表，静默完成版本比对与补丁匹配 所有复杂逻辑（版本适配、分级筛选、灰度命中、策略判定）由服务端统一完成 客户端仅负责下载、校验、执行更新，逻辑轻量化，降低系统资源占用与故障概率 2.2 客户端核心：分层优先级更新队列机制（冻结） 系统内置固定优先级更新队列，多补丁同时存在时，严格按照既定优先级串行执行，避免更新冲突、资源抢占、版本错乱问题。 更新执行优先级（从高至低，永久冻结）： .hotpth 紧急安全热修复 > .npth 系统累积更新 > .apth 关键软件更新 > 预览版灰度更新 > 普通可选更新 > Dev开发者内测更新 2.3 自研事务性原子更新与智能回滚机制 更新前置自动快照备份系统关键文件、权限配置、版本信息，留存完整回滚镜像 针对更新中断、设备断电、文件异常、校验失败等所有异常场景，触发全自动事务回滚 严格杜绝半更新状态，保障系统文件完整性与运行稳定性 所有更新操作具备事务唯一性，要么全部成功生效，要么完整还原初始状态 2.4 自研差分增量更新与断点续传机制 全系补丁默认启用字节级差分增量更新，仅传输文件变更数据块，极大降低远程更新流量开销 内置下载进度持久化模块，支持断网、断电、退出中断后无缝接续下载 安装阶段支持断点续执行，已完成的差分块、文件操作无需重复执行，提升更新效率 7. Novus OS 更新体系二进制文件头规范（全局冻结｜可直接编码） 本节定义 .novu / .npth / .apth / .hotpth 四类更新载体的统一二进制文件头结构。所有结构体强制 packed、4字节对齐、字段偏移永久锁定，用于解析器精准识别文件类型、校验合法性、读取更新策略，杜绝后缀伪造、文件篡改、格式错乱。 核心设计原则：后缀与文件头魔数强绑定、类型字段二次校验、标志位控制行为、全局哈希防篡改、预留位保证向前兼容。 7.1 全局公共定义（全部文件通用｜冻结） // 全局版本冻结 #define NOVUS_UPDATE_HDR_VER_MAJOR 1 #define NOVUS_UPDATE_HDR_VER_MINOR 0 // 文件类型枚举（永久唯一） #define NOVU_TYPE_FULL 0 // .novu 全量安装包 #define NOVU_TYPE_SYS_PATCH 1 // .npth 系统通用补丁 #define NOVU_TYPE_APP_PATCH 2 // .apth 软件专属补丁 #define NOVU_TYPE_HOT_PATCH 3 // .hotpth 紧急热修复补丁 // 五级更新分级枚举（绑定服务端大表策略） #define UPDATE_LVL_OPTIONAL 0 #define UPDATE_LVL_RECOMMEND 1 #define UPDATE_LVL_PREVIEW 2 #define UPDATE_LVL_URGENT 3 #define UPDATE_LVL_DEV 4 7.2 四类文件专属魔数（防伪造｜一一对应｜冻结） 文件头魔数为第一校验依据，后缀仅为系统展示用，解析器以魔数为准，防止手动改后缀伪装补丁。 // 小端内存序、文件存储序统一 #define NOVU_FULL_MAGIC 0x554E5653 // NVUS → .novu #define NOVU_NPTH_MAGIC 0x50544853 // PTHS → .npth #define NOVU_APTH_MAGIC 0x41505448 // APTH → .apth #define NOVU_HOTPTH_MAGIC 0x484F5450 // HOTP → .hotpth 7.3 统一标准文件头结构体（128Byte 固定｜四类文件通用） 四类更新文件共用同一套128字节头部布局，仅 magic、 file_type、默认 update_level 不同，极大降低解析器代码冗余，同时严格隔离四类载体行为。 typedef struct __attribute__((packed)) { // 0x00 基础魔数与版本 uint32_t magic; // 四类文件专属魔数 uint16_t ver_major; uint16_t ver_minor; // 0x08 文件类型 + 更新分级 uint8_t file_type; // 0=novu 1=npth 2=apth 3=hotpth uint8_t update_level; // 0~4 对应五级更新通道 uint8_t remote_support; // 1=允许远程下发 0=仅本地手动安装 uint8_t reserved_0; // 0x0C 全局标志位（位掩码控制更新行为） uint32_t flag_bits; // 0x10 版本适配区间 uint64_t target_os_ver; // 目标适配系统版本 uint64_t min_compat_ver; // 最低兼容兜底版本 // 0x20 内容块计数 uint32_t entry_count; // 文件操作项/资源项总数 uint32_t delta_block_count; // 差分块数量（全量包可为0） // 0x28 各区块文件偏移与长度 uint32_t meta_offset; // 元数据/Manifest 偏移 uint32_t meta_len; uint32_t table_offset; // 操作表/索引表偏移 uint32_t table_len; uint32_t data_offset; // 原始数据/差分数据区偏移 uint32_t data_len; uint32_t snapshot_offset; // 快照回滚哈希表偏移 uint32_t snapshot_len; // 0x60 全局完整性校验 uint8_t file_sha256[32]; // 整包除签名区外哈希 // 0x80 签名信息 uint32_t sig_offset; uint32_t sig_len; // 0x88 补丁唯一ID（16位十六进制ID二进制存储） uint8_t patch_uuid_bin[8]; // 0x90 预留填充至128字节，向前兼容扩展 uint8_t reserved_fill[24]; } novus_update_header_t; 7.4 全局 Flag 位掩码定义（冻结） 统一位掩码控制各类更新行为，客户端/服务端按位判定策略。 bit0 = 1 开启快照回滚 bit1 = 1 差分增量模式 / 0 全量替换模式 bit2 = 1 支持断点续传 bit3 = 1 支持内核热更新（无需重启） bit4 = 1 允许覆盖系统只读路径 bit5 = 1 更新后自动刷新桌面/服务 bit6 = 1 远程静默安装模式 bit7 = 1 安全紧急强制兜底模式 bit8~31 保留 7.5 四类文件头部字段差异化绑定规则（永久冻结） 统一结构体 + 差异化固化参数，保证格式统一、行为隔离、层级严谨。 文件后缀 Magic file_type 默认 update_level 核心行为固化 .novu 全量包 NVUS 0 1（推荐级） 大版本替换、支持回滚、仅重大迭代使用 .npth 系统补丁 PTHS 1 1（推荐级） 系统核心迭代、后台执行、可延后次数管控 .apth 软件补丁 APTH 2 0（可选级） 用户态更新、弹窗询问、可永久忽略 .hotpth 热修复 HOTP 3 3（紧急级） 最高优先级、静默强制、禁止延后、插队执行 7.6 16进制补丁UUID 二进制存储规范 对外文件名：16位大写十六进制字符串 对内文件头：8字节原生二进制存储（16Hex = 64bit） 校验逻辑双向绑定冻结： 打包器由SHA256摘要截取前64bit生成唯一ID 写入头部 patch_uuid_bin[8] 同时格式化输出16位大写Hex作为文件名 解析器校验：文件名Hex <-> 头部二进制ID 必须一致，不一致直接拒绝安装，判定为非法篡改包 7.7 头部合法性校验流水线（硬件级可靠｜冻结流程） 客户端/服务端接收任意更新文件，严格按以下顺序校验，任意一步失败直接丢弃： 校验前128字节头部完整性 匹配对应魔数，判定真实文件类型 校验主次版本兼容 校验二进制UUID与文件名一致性 校验系统版本适配区间 校验全局SHA256完整性 校验Ed25519数字签名合法性 通过后按 update_level 进入对应更新队列 7.8 区块偏移通用排布规则（四类文件统一） 所有更新文件从偏移0开始排布顺序永久固定： 128B文件头 → Meta元数据区 → 文件操作索引表 → 差分数据表 → 数据正文区 → 快照哈希区 → 签名区 保证解析器线性读取、无需自适应判断，极致降低解析复杂度与BUG率。 3. Novus OS 自研更新体系增强策略规范 基于自研架构迭代优化，新增多项工业级增强策略，完善全场景更新能力，所有扩展规则兼容原有冻结底层结构，无破坏性变更。 3.1 智能空闲时段静默更新策略 为兼顾更新时效性与用户使用体验，自研分时更新调度机制： .hotpth 紧急安全补丁：不受时段限制，即时后台静默修复，优先保障系统安全 系统、软件常规更新：自动识别设备空闲、锁屏、夜间低活跃时段，后台静默执行更新 支持用户自定义免打扰时段，期间禁止非紧急类更新触发 3.2 更新失败智能重试与设备自愈降级策略 单次更新异常失败后，系统自动触发3次梯度重试，重试间隔逐级递增，规避临时环境异常问题 多次重试持续失败，自动标记该补丁与当前设备不兼容，服务端自动拉黑停止推送 本地自动留存故障日志、更新快照、异常信息，同步上报服务端，形成运维闭环 3.3 设备维度精细化灰度放量机制 服务端统一大表内置完整灰度管控逻辑，支撑版本平稳迭代： 支持按设备ID、设备批次、硬件机型、系统版本、用户分组精细化灰度推送 支持百分比放量更新，小范围验证稳定后逐步全量铺开，规避批量BUG风险 开发者预览、内测版本支持白名单专属推送，仅授权设备可获取更新 3.4 系统后台驻留更新服务（完整后台能力闭环） Novus OS 更新体系内置系统级常驻后台更新守护服务，独立于前台UI、独立生命周期、低功耗驻留系统内核服务层。所有更新检测、版本比对、下载预载、静默安装、状态同步、撤回预处理全部支持后台无感知运行，支持前台退出、锁屏待机、用户离线状态下持续完成更新全流程。 3.4.1 后台服务核心属性（系统常驻级） 内核级守护驻留：更新服务为系统核心自启动服务，开机自动挂载、后台长期常驻、不受前台应用退出影响，无闪退、无后台冻结，保障更新链路持续可用 低资源占用调度：后台空闲休眠、轮询时段轻量化唤醒，仅版本比对与增量校验时瞬时占用CPU，常态内存占用极低，不影响整机性能与续航 独立任务生命周期：下载、校验、安装、回滚、残留清理均为后台独立任务，前台关闭设置界面、切换用户、锁屏待机不中断任务执行 断电续任务：后台所有更新任务状态持久化写入系统更新注册表，重启后自动恢复未完成任务断点，接续执行剩余流程 3.4.2 后台完整可执行能力清单 所有更新核心逻辑完全后台化，无需前台介入： 后台静默轮询检测：常驻后台定时轮回查询远程统一大表，自动匹配本机适配补丁、分级筛选更新队列 后台静默下载预载：空闲时段后台自动下载差分补丁包，下载完成静默缓存，等待最佳安装时机，实现“开机即用最新版本” 后台静默校验鉴权：后台自动完成魔数校验、UUID双向校验、SHA256完整性校验、Ed25519签名校验，非法包后台自动丢弃并日志归档 后台静默安装执行：紧急安全补丁、后台许可的稳定补丁可完全后台静默安装，无弹窗、无打扰、无需用户确认 后台快照备份预处理：检测到待更新任务时，后台提前异步生成增量快照，前置备好撤回环境，更新失败可瞬时回滚 后台残留自动清理：更新完成、更新撤回、任务终止后，后台自动清理差分缓存、临时文件、无效配置，保持系统整洁 后台状态上报同步：安装结果、撤回结果、失败日志、设备版本基线后台自动同步至远程大表，完成运维闭环 后台自愈重试降级：更新异常后台自动梯度重试，多次失败后台自动标记设备兼容状态、停止推送问题补丁 3.4.3 后台任务场景适配规则 前台活跃场景：仅执行检测、下载、预缓存任务，延迟高IO安装任务，避免占用系统资源、造成卡顿 用户空闲/锁屏场景：自动放行全部后台安装、回滚、清理任务，全速完成更新迭代 低电量/流量受限场景：后台智能节流，暂停大体积补丁下载，仅保留紧急安全热修复流程，兼顾续航与资费 多用户切换场景：后台服务全局唯一，不受用户切换影响，跨用户持续完成系统级更新 3.4.4 后台权限与安全隔离机制 后台更新服务拥有系统专属更新权限，仅可操作更新指定文件目录与配置项，禁止越权篡改用户私有数据，权限最小化管控 所有后台操作全程日志溯源，记录操作时间、任务ID、执行步骤、结果状态，可审计、可追溯、可排查异常 非授权第三方程序禁止劫持、终止、篡改后台更新服务，保障更新链路安全不被劫持 3.4.5 后台与五级更新分级联动策略 level_urgent 紧急补丁：后台最高优先级插队执行，无视空闲策略、无视节流限制，即刻静默修复 level_recommend 推荐补丁：后台空闲自动下载、锁屏静默安装，延后次数由后台自动计数管控 level_preview 预览补丁：后台仅检测、不下发自动安装，等待用户前台确认后再执行后台任务 level_optional 可选补丁：后台仅版本比对、静默展示列表，不主动下载、不后台安装 level_dev 开发补丁：默认后台隐藏，仅开发者模式解锁后后台可见可更新 3.5 更新撤回与卸载回滚子系统（工业级完整闭环） 3.5 更新撤回与卸载回滚子系统（工业级完整闭环） Novus OS 原生支持已完成更新的可逆撤回能力，支持所有增量补丁与小版本迭代更新一键卸载、还原更新前状态、自动清理更新残留、恢复原始文件权限与注册表配置，适配用户误更新、版本兼容异常、功能迭代不适配等场景，形成「更新-生效-撤回-复原」完整闭环。 本机制为系统原生底层能力，无需重装系统、不丢失用户数据、不破坏应用环境，区分「可撤回更新」与「永久固化更新」，权限分级可控、日志全程溯源。 3.5.1 撤回适用范围界定（永久冻结规则） 四类更新载体撤回权限差异化管控： .apth 软件专属补丁：完全支持一键撤回，卸载后恢复软件旧版本、还原旧配置，无任何残留 .npth 系统通用累积补丁：支持常规小迭代更新撤回，仅重大核心基线更新固化不可撤回 .hotpth 紧急安全热修复补丁：默认禁止用户主动撤回，防止安全漏洞复现；仅系统底层故障自愈时自动静默回滚 .novu 全量大版本包：支持跨版本回滚至上一稳定大版本，保留用户数据分区，还原系统基线环境 3.5.2 更新快照增量存档机制（撤回核心底层） 系统摒弃全量备份冗余方案，采用增量快照存档，仅备份更新被修改、替换、删除的原始文件与配置，节省磁盘空间同时保证100%可复原： 每次更新成功写入后，自动生成「更新快照存档」，绑定当前补丁16进制唯一UUID 快照内容包含：原始文件二进制备份、文件权限掩码、目录结构、系统配置快照、服务启动项状态 快照生命周期可控：常规补丁默认保留30天快照，紧急安全补丁永久留存快照，大版本快照保留60天 过期快照自动后台轻量化清理，仅保留更新日志与版本溯源记录，不影响系统运行 3.5.3 系统更新索引注册表（撤回溯源核心） 系统内置专属更新索引数据库，记录每一条已安装更新的完整元数据，为撤回功能提供精准索引： 单条更新索引固定字段： 补丁16进制唯一UUID、文件后缀类型、更新分级等级 安装时间、安装状态、是否成功生效、是否已撤回 关联修改文件列表、差分块映射表、快照存档存储路径 可撤回标记、固化锁定标记、过期清理时间戳 更新版本前后基线号、适配系统版本区间 所有已安装更新在系统更新列表可视化展示，支持按时间、类型、版本筛选，用户可自主选择指定更新单独撤回，支持精准单条回滚、不影响后续其他更新。 3.5.4 分层撤回执行流程（原子事务级冻结） 撤回操作全程事务化，遵循「要么完全撤回、要么原样保留」的原子原则，杜绝半撤回异常状态： 前置校验：校验补丁合法性、快照完整性、当前系统基线匹配度，检测是否存在依赖后置更新 依赖检测：若当前更新被后续高阶更新依赖，弹窗提示依赖关系，支持「连带撤回后续增量更新」或「禁止单独撤回」 文件复原：依据增量快照覆盖还原原始文件、恢复权限、修复目录结构 配置回滚：还原系统服务项、开机自启、环境变量、应用配置旧状态 残留清理：自动删除本次更新新增冗余文件、无效注册表项、废弃差分缓存 状态刷新：静默刷新系统核心服务、桌面环境、应用挂载状态，无需冗余重启（内核级变更按需提示重启） 日志归档：记录撤回时间、操作主体、回滚结果，同步更新索引数据库状态 3.5.5 特殊锁定与豁免策略 安全补丁锁定策略：.hotpth 紧急安全修复永久锁定用户撤回入口，杜绝人为关闭安全防护导致漏洞暴露 基线固化策略：系统重大基线累积更新自动标记为固化版本，禁止普通用户撤回，保障系统底层稳定性 开发者豁免策略：开发者模式下可解锁全部撤回权限，支持任意版本回滚，适配调试与二次开发场景 3.5.6 服务端同步撤回策略 客户端撤回操作自动同步上报远程统一大表，服务端更新设备版本基线状态 针对批量设备灰度异常更新，服务端可远程下发「批量撤回指令」，全网统一回滚问题补丁 已撤回的问题补丁自动降级灰度放量比例，严重问题补丁全网下架、停止推送 3.5.7 撤回能力差异化总表 补丁类型 可用户撤回 可自动自愈回滚 快照保留周期 依赖联动策略 .hotpth 紧急热修复 否（锁定保护） 是（故障自愈） 永久保留 禁止单独回滚，保障安全基线 .npth 系统累积补丁 是（非基线版） 是 30天 检测后续依赖，支持连带回滚 .apth 软件补丁 是（完全开放） 是 30天 独立应用隔离，无系统依赖 .novu 全量版本包 是（大版本回退） 是 60天 整体基线还原，清空增量迭代记录 3.4 稳定版更新延后管控策略 level_recommend 稳定推荐更新，支持用户自主延后1-3次更新，适配临时工作场景需求 延后次数耗尽后自动强制安装，避免设备版本长期滞后、漏洞堆积、兼容性断层问题 紧急安全热修复补丁不支持延后、忽略、拦截，保障系统安全底线 4. Novus OS 自研更新体系能力总览表 系统能力模块 Novus OS 自研实现方案 能力状态 紧急安全漏洞修复 .hotpth 最高优先级静默热修复体系 已完全落地冻结 系统核心累积迭代 .npth 系统通用增量补丁体系 已完全落地冻结 用户软件独立更新 .apth 应用软件专属增量补丁体系 已完全落地冻结 系统大版本升级 .novu 全量安装包兜底方案 已完全落地冻结 远程统一更新管控 全局唯一大表 + 客户端后台轮询架构 已完全落地冻结 五级精细化更新分级 紧急/推荐/预览/可选/开发 全通道体系 已完全落地冻结 字节级增量差分更新 自研Delta差分数据块更新机制 已完全落地冻结 原子更新与事务回滚 快照备份+全自动异常回滚体系 已完全落地冻结 断点续传续更能力 下载与安装进度持久化机制 已完全落地冻结 智能时段调度更新 空闲识别+免打扰时段自定义策略 待编码落地 精细化灰度推送管控 设备维度百分比放量+白名单机制 已支持 更新失败自愈与重试 梯度重试+设备兼容拉黑+日志上报闭环 待编码落地 5. Novus OS 自研更新体系定位总结 Novus OS 更新体系为100%纯自研、完全独立知识产权、工业级稳定的操作系统原生更新架构，无任何第三方架构依赖，完全适配自研系统生态： 搭建了独有的「三类补丁格式+五级更新通道」分层更新模型，精准区分安全修复、系统迭代、软件更新场景，权责隔离、层级清晰。 采用轻量化服务端大表管控+客户端极简执行架构，兼顾批量运维效率与终端系统稳定性。 融合自研差分增量、原子事务回滚、断点续更、智能调度、灰度自愈核心能力，形成安全、高效、可控、可调试的完整更新生态闭环。 6. 后续开发落地清单 落地客户端智能空闲时段识别与分时更新调度逻辑 实现更新失败梯度重试、自愈检测、设备兼容拉黑机制 完善服务端大表设备维度百分比灰度推送、放量管控逻辑 完成稳定版更新延后次数统计、阈值管控、强制更新策略模块开发