工业控制配方下装必须原子化

配方由几十个参数组成时，逐个写入成功并不代表整套配置在任一时刻都有效。工业控制参数更新要以原子事务提交，也要确保回滚版本与当前程序语义兼容。

多个参数往往相互约束。例如温控配方同时包含升温斜率、上限、保持时间和冷却条件，若通信按地址逐项写入，控制任务可能在中途读到一半新值、一半旧值。短暂混合状态也可能触发超限、顺序跳步或不合理输出，即使最终所有数值都正确。单变量范围检查无法发现斜率与功率上限、速度与加速度、上限与下限之间的交叉矛盾，更无法保证工程单位与控制程序预期一致。

原子下装可先把整套参数写入影子区，附带配方标识、结构版本、长度和校验值。控制器在不影响活动参数的前提下检查每项范围、数据类型、单位以及跨参数约束，全部通过后才在一个明确的扫描边界切换活动版本。切换动作应只改变一个版本引用，而不是再次复制大量变量，以免提交过程仍被任务抢占。若设备正在运行，还需规定哪些参数允许在线切换，涉及轨迹、保护阈值或顺序结构的配方通常应等到受控状态。

通信协议需要区分传输完成与应用完成。上位机收到最后一个写响应，只能证明数据到达，不能证明控制器已验证并提交；应由控制器返回事务号、激活版本和失败原因。网络中断后，上位机可用事务号查询结果，不能盲目重发造成重复激活。试验要在每个写入阶段切断连接、重启控制器并制造校验错误，确认旧活动配方始终完整可用。对冗余控制器，影子区和提交版本也必须同步，否则切换主机可能回到半套参数。

版本回滚并不是把旧文件重新下载一次。工业控制程序升级后，参数含义、量纲、默认值或允许范围可能改变，旧配方即使校验和正确，也可能不再适配当前算法。校验和只能发现字节损坏，不能证明语义兼容；仅比较配方名称也无法区分同名文件经过的修改。可回滚体系需要同时记录配方结构版本、目标设备类型、控制程序版本和迁移规则。

每次激活应保留不可变快照及审计信息，包括操作者、来源、时间、变更原因和验证结果。回滚前先用当前程序的规则重新校验目标快照；存在结构变更时，使用受控迁移把旧字段转换到新模式，并生成新的版本，而不是修改历史原件。对于保护限值，权限和电子签名应高于普通工艺参数。所谓最后已知良好版本还要有运行证据，仅因曾经下载成功并不能证明它在目标产品与设备状态下合格。

演练应覆盖回滚到不同固件年代、缺少字段、单位改变和设备选件不一致等情况，确保系统明确拒绝不兼容版本。恢复后要比较活动参数、影子参数和实际执行机构反馈，避免数据库显示已回滚而控制器仍运行缓存旧值。若中央配方服务器不可用，设备可使用本地批准快照，但联网后应做版本对账，不能自动以时间较新的一方覆盖另一方。审计记录应防止普通用户删除，并支持从某批产品追溯到当时的程序与配方组合。

所以，可靠下装的目标是让任何时刻都只有一套完整有效参数，可靠回滚则要保证旧版本仍符合新程序语义。把事务提交和兼容校验结合，工业控制配方变更才真正可控。