固件 C2：OTA 双槽 + 失败回滚（已上板实测正常 / 哈希错 / 回滚三条路径）

- 分区重排（16 MB，nvs 0x9000 不动）：ota_0 / ota_1 各 3 MB、otadata 0x610000、evlog 挪到 0x612000；
  flash 大小改正为 16 MB；开 CONFIG_BOOTLOADER_APP_ROLLBACK_ENABLE
- ota.{h,c}（宿主机可测）：URL / sha256 校验、判定（下载中 busy、待验证拒、同镜像不重下）、健康判据
- ota_esp.{h,c}：t_ota 任务经 HTTP 下载、边下边算 sha256、核 project_name 后切启动分区；
  新固件 120 s 内连不上 broker 就回滚（t_link 判 + esp_timer 兜底）；重启前等回应发出、事件落盘
- 新命令 ota = 13（两条链路都收，reboot 默认 false：复位 = 五台手机断电一次）；status 加 ota 一块；
  新事件 LOG_EV_OTA = 18；PROJECT_VER 取 PHONERAIL_FW_VERSION
- test_ota.c 13 例，全工程 442 例全绿；版本 0.1.0-c2
- 服务器：nginx 7765 只放行 /fw/<16 hex>.bin（不过门户，路由器转发已加）；tools/ota_push.py 推送；
  rack protocol.py 加事件 18 / 命令 13（已部署）
- 板 B：推送到自证健康 19 s；错哈希不切分区；删掉 broker 账号后 120 s 回滚，bad 报出被回滚的版本

Co-Authored-By: Claude Opus 5.5 <[email protected]>

firmware/main/app_main.c

@@ -31,6 +31,7 @@
 #include "mlink_esp.h"
 #include "nvs.h"
 #include "nvs_flash.h"
+#include "ota_esp.h"
 #include "ulink_esp.h"
 
 static const char *TAG = "phonerail";
@@ -226,6 +227,7 @@ static void task_link(void *arg)
     for (;;) {
         ulink_esp_poll(100); /* 最多等 100 ms 一包；没有 USB 驱动时退化成睡 100 ms */
         mlink_esp_poll();
+        ota_esp_poll(); /* C2：新固件的健康判据 + 到点重启 */
     }
 }
 
@@ -369,6 +371,13 @@ void app_main(void)
                  (int)why);
     }
 
+    /* C2：OTA。紧跟在事件日志后面：「这是 OTA 后的第一次启动」「有过回滚」要尽早知道，
+       兜底回滚的定时器也要尽早上弦（后面任何一步卡死都要能回滚）。失败不 abort。 */
+    err = ota_esp_init();
+    if (err != HAL_OK) {
+        ESP_LOGE(TAG, "OTA 不可用：%s（分区表不是双槽？）", hal_err_str(err));
+    }
+
     nvs_up();
     s_want = want_load();
 
@@ -442,6 +451,7 @@ void app_main(void)
     spawn(TASK_ACTUATOR, task_actuator);
     spawn(TASK_LINK, task_link);
     spawn(TASK_LOG, task_log);
+    ota_esp_boot_done(); /* 健康判据的前一半：启动序列走完了 */
 
     ESP_LOGI(TAG, "五个任务已启动（t_safety %u ms / t_thermal %u ms），"
                   "I²C 预算 %u us 每周期",