工业现场最怕两件事——断电、和"升级升挂了"。白牌设备常只有一个固件分区，刷错直接变砖，只能返厂；正经工业交换机会做双映像（dual image）+ 配置回滚，升级失败自动切回旧版本，业务不中断。本文讲清怎么安全地给工业交换机升级固件。
工业交换机往往一挂就是一整条产线或一片监控。单分区固件一旦写入损坏，设备起不来，现场没人会救，只能寄回。双映像把闪存划成 A/B 两区：当前跑 A，新固件写 B，写完好好的再切 B 启动；B 起不来，自动回 A。这是工业级和商用的关键差别之一。
| 维度 | 单分区固件 | 双映像（dual image） |
|---|---|---|
| 升级失败后果 | 变砖，需返厂 | 自动回旧分区，业务不中断 |
| 可否回滚 | 否 | 是，启动指针切回即可 |
| 闪存占用 | 小 | 略大（存两份） |
| 适用场景 | 非关键商用 | 工业/现场级 |
升级前先做好固件备份与配置导出：导出现行 startup-config（TFTP/FTP/SFTP 都行），再确认当前运行的是哪个映像分区（show boot / display version）。配置丢了能还原，映像坏了有备份。这是底线动作，跳过就是赌运气。
用 SFTP 把新固件传到设备（别用明文 TFTP 跑生产网）。正规厂商固件带签名，设备写入前会校验，签名不对直接拒绝，避免刷进篡改包。记下新映像要写进哪个分区——通常是非当前运行的那个（备用分区）。
把固件写进备用分区，再用命令把"下次启动主映像"指向新分区。注意：这一步只是改启动指针，还没重启，业务仍在旧版本上跑。IEEE 802.1X 登录保护的管理口此时照常工作，不影响运维。
重启后设备从新分区起。重点看：能否进系统、端口是否如期 UP、上联是否通、SNMP/网管是否在线。建议先在维护窗口做，别大白天一刀切几十台。结合光模块 DDM 看 Rx 光功率是否依旧在 −27 dBm 以上。
若新版本起不来或业务异常，断电重启会自动回到另一分区旧映像（双映像的兜底）；若起来了但功能不对，手动把启动指针指回旧分区再重启即可。配置回滚同理：把步骤 1 备份的 startup-config 重新导入。
几十台上一起升风险高。建议先升 1–2 台观察 24 小时，再小批量、最后全量；配合 1+1 冗余电源的设备，升级时拔电都不丢业务。跨大版本（如大版本代际变更）前务必核对配置语法，必要时先在小批次验证再放开。
| 升级检查项 | 是否完成 | 备注 |
|---|---|---|
| 导出 startup-config 备份 | ☐ | 存到异地 |
| 确认当前启动分区 | ☐ | show boot |
| 新固件签名校验通过 | ☐ | 拒绝篡改包 |
| 写入备用分区（非运行区） | ☐ | 不动当前业务 |
| 维护窗口 + 24h 观察 | ☐ | 先小批后全量 |
Q1：双映像会不会占很多空间？ 工业交换机闪存一般够放两份，代价是可存版本少，但换来"升挂即回"，值。不要为了多存几个旧版而关掉双映像。
Q2：配置文件和固件要一起升吗？ 分开管。固件是系统，配置是业务参数。升级固件通常不动配置；但大版本跨代可能改配置语法，跨代前务必备份并核对。
Q3：能不能不重启就生效？ 固件必须重启加载新分区；有些补丁/微码可热更新。涉及内核的固件一定重启，别信"热升级不重启"的含糊说法。
Q4：升级中途断电会怎样？ 双映像下，正在写的是备用分区，当前跑的旧版本不受影响，来电后旧版本照常起，再重传新固件即可。单分区设备断电即砖。
Q5：怎么验证新版本没问题？ 看端口 UP 数、上联通断、SNMP 轮询、光模块 DDM、业务 ping。建议维护窗口 + 24h 观察再放开全量。
工业交换机固件升级的核心不是"能刷"，而是"刷坏了能回来"。双映像 + 配置备份 + 启动指针切换，三者齐了，升级就是低风险例行维护。选设备时把"是否双映像、能否配置回滚"当成硬指标——这正是白牌低价机和工业级设备的分水岭。
锐应工业交换机（工业交换机方案）支持双映像与配置回滚，升级失败自动切回上一版本，业务不中断；同系工业 PoE 交换机也开放 SFTP 安全升级。产品矩阵见锐应科技官网。
