固件灰度发布怎样决定继续、暂停和回滚？
先按硬件版本、地区和风险选小批设备，发布前定义成功率、启动失败、崩溃、功耗、连接与核心业务指标的基线和门槛。设备需支持可靠回滚，平台要能暂停扩散并区分版本与批次。
Question Bank
按知识、方向与难度筛选；每道题都有分层回答和工程追问。
先按硬件版本、地区和风险选小批设备，发布前定义成功率、启动失败、崩溃、功耗、连接与核心业务指标的基线和门槛。设备需支持可靠回滚，平台要能暂停扩散并区分版本与批次。
从构建目标、板级配置、功能开关和运行时数据流入手，避免从 main 函数开始无目的地逐文件阅读。
围绕自注册、可见与隐藏状态、事件订阅、定时器和 LVGL 对象，设计可反复进出的应用生命周期。
协议应有稳定包络、明确长度和版本或能力协商；新增字段优先做到旧端可跳过，删除或改变语义需新版本路径。解析器要拒绝非法长度但容忍允许的未知扩展，并保留降级能力。
每台设备应有唯一身份，私钥尽量在安全硬件内生成或通过受控产线注入且不可导出；后台只授予最小权限并记录证书生命周期。设计时必须包含轮换、吊销、丢失设备和产线审计。