网关固件远程升级与灰度发布

分批灰度降低全网风险。

网关一旦升级失败，整网出口就没了。远程升级必须灰度：先小批验证，再分批推进，并保留回滚通道。 升级窗口尽量选低峰，并提前公告。真正稳妥的发布是“能随时退”，而不是“一次成功”。