Wi-Fi 毛绒的 OTA：在需要之前先把升级路修好

毛绒一旦有了 Wi-Fi，固件升级就不再是可选项。新语录、新歌、修 bug——产品被期待在售出后继续变好。但给一个孩子抱着睡的玩具做升级，是独立的工程学科。

永远两个槽

底线是备份槽升级：新固件写进备用分区，运行中的系统继续陪玩。校验完整镜像之后，下次启动才切槽。下载失败是无事发生；切换失败是睡前灾难——我们提前把这类灾难设计掉。

电量守卫不是可选项

玩具在 4% 电量时升到一半挂掉，新闻标题自己会写。升级器检查电量，低于阈值拒绝启动，电压跌落时暂停。「充电座触发升级——玩具在底座上小睡时自己更新」这个模式，绕开了这一类问题的大半，而且读起来像可爱而不是维护。

灰度发布在玩具行业同样成立

一句会触发 bug 的新语录，不该一夜之间到达所有设备。小批量、验证、再全量——联网设备的常规做法，毛绒项目同样适用。升级服务器是交付物的一部分，不是事后补的。

升级包里装什么

语录包和行为调整是数据不是固件，走同一条管线但验证轻得多。把内容更新（高频、低险）和固件更新（低频、重守卫）的边界画干净，两边都更便宜也更安稳。