fix: uebersprungenes Recovery-Image ist kein Fehler mehr

Lehnte die Recovery ein Image ab, weil es bereits die laufende Version
traegt, meldete die Firmware das als last_ota_error=trailer. Wer eine
Lampe im Feld ausliest, haette dort einen Trailer-Fehler gesehen, wo in
Wahrheit nichts passiert ist - und die Meldung in der Konsole lautete
"update failed". Das bewusste Ueberspringen hat jetzt einen eigenen
Zustand (nl_ota_skipped()), setzt keinen Fehlerwert und wird als
"image already up to date" protokolliert.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/hardware-checklist.md

@@ -43,7 +43,7 @@ Konsole: `tools/monitor.sh /dev/cu.<port>` (115200 8N1). Flashen: `tools/flash.s
 - [x] OTA: Image eines anderen Gerätetyps wird sofort abgelehnt (`last_ota_error` = `device_mismatch`), kein Reset, Lampe läuft mit der alten Firmware weiter — 2026-09-12 (Ablehnung nach ~4,5 s, Uptime lief durch)
 - [x] OTA: Image mit verfälschtem Byte wird abgelehnt (`last_ota_error` = `hash` oder `crc`), kein Reset — 2026-09-12 (`crc`, kein Reset)
 - [x] OTA: HTTP-Server während des Downloads abschalten → Lampe bleibt über REST erreichbar und schaltbar, weist weitere `fw_update` mit `409` ab, und beendet den Versuch mit `last_ota_error = download` — 2026-09-12 (dauerte ~7 min, kein Range-Resume; siehe README)
-- [ ] OTA: kurzer WLAN-Aussetzer während des Downloads (Verbindung kurz kappen und wiederherstellen) → Download wird fortgesetzt, kein sofortiger `download`-Fehler
+- [ ] OTA: kurzer WLAN-Aussetzer während des Downloads (Verbindung kurz kappen und wiederherstellen) → Download wird fortgesetzt, kein sofortiger `download`-Fehler — *offen, WLAN am Teststandort nicht abschaltbar*
 - [ ] Recovery: Lampe zieht beim Booten das Image von der Station `ninlight-recovery`, Konsole zeigt Scan-, Join- und Fetch-Meldungen
 - [x] Recovery: ohne Station verlängert sich der Boot um höchstens ~3 s, Konsole loggt das Scan-Ergebnis (gefunden/nichts gefunden/Scan fehlgeschlagen) — 2026-09-12 (`scan done after 1500 ms, 7 AP(s)`, danach normaler WLAN-Start)
 - [ ] Recovery: Gegenstelle bleibt verbunden, sendet aber keine Daten mehr (nicht: ein langsamer, aber laufender Download) → nach Ablauf der Zeitobergrenze bedient die Firmware den Watchdog nicht mehr, Chip startet neu statt hängen zu bleiben
@@ -54,7 +54,7 @@ Konsole: `tools/monitor.sh /dev/cu.<port>` (115200 8N1). Flashen: `tools/flash.s
 - [x] `system/info.fw_version` nach einem OTA stimmt mit der Version im Trailer des geflashten Images überein (Trailer-Version z.B. mit `tools/mkimage` prüfen) — 2026-09-12
 - [ ] Recovery im echten Rettungsfall: Lampe ohne gültige WLAN-Konfiguration bzw. im Onboarding-AP findet die Station, zieht das Image und startet mit der neuen Firmware
 - [ ] Rettungsstation nach erfolgreicher Recovery angelassen lassen, Lampe neu booten lassen → kein erneutes Flashen (Version stimmt bereits überein) und kein Werksreset (Power-Cycle-Zähler wurde vor dem Recovery-Versuch gelöscht)
-- [ ] OTA im AP-/Fallback-Modus (`mode=apsta`, kein Router erreichbar) und mit `auth_all = true` → Update läuft durch wie im normalen `sta`-Modus
+- [ ] OTA im **AP-/Fallback-Modus** (`mode=apsta`, kein Router erreichbar) → Update läuft durch wie im normalen `sta`-Modus — *offen, braucht einen abschaltbaren Access Point*. Mit `auth_all = true` am 2026-09-12 geprüft: Update läuft durch, `device/*` antwortet ohne Token korrekt mit 401 (`system/info` bleibt laut Spec §7.2 immer offen)
 
 Für den echten Flottenbau `NINLIGHT_RECOVERY_PASSWORD` und `NINLIGHT_TOKEN` in `config.local.cmake` setzen — die Defaults sind nur fürs EVK gedacht.
 

src/net/nl_recovery.c

@@ -162,8 +162,14 @@ void nl_recovery_try(void)
             tls_os_time_delay(HZ / 2);
             waited += 500;
         }
-        if (feeding)
+        if (feeding) {
+            /* A skipped image (same version as the running firmware) is not a failure - saying so
+               would leave a healthy lamp looking like it had rejected a broken image. */
+            if (nl_ota_skipped())
+                printf("recovery: image already up to date, continuing normal boot\r\n");
+            else
                 printf("recovery: update failed (%s), continuing normal boot\r\n",
                        nl_ota_last_error() ? nl_ota_last_error() : "unknown");
         }
     }
+}

src/sys/nl_ota.c

@@ -23,6 +23,7 @@ static char               s_url[NL_OTA_URL_MAX];
 static volatile bool      s_busy;
 static volatile bool      s_reject_running_version; /* recovery path only, see nl_ota_start_recovery() */
 static const char * volatile s_error;
+static volatile bool      s_skipped;
 static u32                s_stack[NL_OTA_STACK];
 static char               s_tail_version[NL_TRAILER_VERSION_LEN]; /* used by the hook, kept off its 2 KB stack */
 
@@ -33,6 +34,7 @@ void nl_ota_init(void)
 }
 
 bool nl_ota_busy(void) { return s_busy; }
+bool nl_ota_skipped(void) { return s_skipped; }
 const char *nl_ota_last_error(void) { return s_error; }
 void nl_ota_set_error(const char *e) { s_error = e; }
 
@@ -61,7 +63,10 @@ bool nl_fwup_verify_tail(const uint8_t sha256[32], const uint8_t *tail, uint32_t
         if (strcmp(s_tail_version, NINLIGHT_FW_VERSION) == 0) {
             printf("ota: recovery image already carries the running version %s, not flashing\r\n",
                    s_tail_version);
-            s_error = "trailer";
+            /* Deliberately skipped, not failed: leave last_ota_error alone. Reporting "trailer"
+             * here used to make a perfectly healthy lamp look like it had rejected a malformed
+             * image, which is exactly the wrong thing to read off a lamp in the field. */
+            s_skipped = true;
             return false;
         }
         printf("ota: recovery image version %s (running %s)\r\n", s_tail_version, NINLIGHT_FW_VERSION);
@@ -90,7 +95,7 @@ static void ota_task(void *arg)
     log_url(s_url);
     rc = t_http_fwup(s_url);
     /* Only reached on failure - the SDK resets the chip itself after a good image. */
-    if (s_error == NULL)
+    if (s_error == NULL && !s_skipped)
         s_error = "download";
     printf("ota: failed (rc=%d, %s)\r\n", rc, s_error);
     {
@@ -125,6 +130,7 @@ static int ota_start(const char *url, bool reject_running_version)
     }
     s_busy = true;
     s_error = NULL;
+    s_skipped = false;
     s_reject_running_version = reject_running_version;
     memcpy(s_url, url, n + 1);
 

src/sys/nl_ota.h

@@ -12,6 +12,9 @@ int nl_ota_start(const char *url);
  * forever. A deliberate re-flash of the same version stays possible over the REST API. */
 int nl_ota_start_recovery(const char *url);
 bool nl_ota_busy(void);
+/* True when the last recovery attempt deliberately skipped an image whose version already
+   matches the running firmware - that is not a failure and sets no last_ota_error. */
+bool nl_ota_skipped(void);
 /* NULL, or one of: download, crc, trailer, device_mismatch, hash, busy */
 const char *nl_ota_last_error(void);
 void nl_ota_set_error(const char *e);