NVIDIA Jetson 完全防护指南

引言

NVIDIA Jetson 平台在边缘 AI 和机器人领域非常强大，但自动更新导致的系统崩溃屡见不鲜。本指南基于 Jetson Orin Nano 的实际崩溃经验，提供一套三层防护方案，彻底锁定 L4T (Linux for Tegra) 核心组件，同时保留手动安装软件的能力。

自动更新可能损坏：自定义底板配置 · 启动加载器 · GPIO pinmux · 显示驱动

为什么自动更新会搞崩 Jetson？

Jetson 运行的是特化版 Ubuntu，包含定制内核、引导加载器和硬件驱动。当系统自动更新以下组件时极大概率出错：

内核更新 → 破坏底板配置
引导加载器更新 → 设备无法启动
Jetson-IO 更新 → GPIO pinmux 损坏
显示驱动更新 → 视频输出失效

Ubuntu 的关机对话框默认勾选“安装更新”，极易误触导致灾难性更新。

三层防护体系

经真实 Jetson Orin Nano 验证，彻底杜绝自动更新引起的崩溃。

层级	方法	作用
Layer 1	`apt-mark hold`	持有所有 nvidia-l4t-* 包，阻止更新/安装/删除
Layer 2	APT Pinning (优先级 1001)	即使依赖冲突也不被覆盖
Layer 3	移除 GUI 更新管理器 + 禁用 systemd 定时器	消除触发更新的所有隐形入口

Layer 1 – 持有所有 NVIDIA L4T 包

sudo apt-mark hold 'nvidia-l4t-*'

锁定范围：内核 / 引导加载器 / 设备树 / 相机与多媒体驱动 / CUDA & GPU 库 / Jetson‑IO / GPIO 配置

sudo apt-mark showhold | wc -l
# 应显示 50+ 个包

Layer 2 – APT Pinning（故障安全二级保护）

先获取当前内核版本以确定正确的 pin 版本号：

dpkg -l | grep nvidia-l4t-kernel | awk '{print $3}'
# 例如 36.4.3-20250425121554

创建 pinning 配置文件：

sudo nano /etc/apt/preferences.d/jetson-l4t-pinning

Package: nvidia-l4t-*
Pin: version 36.4.3*
Pin-Priority: 1001

优先级 1001 > 默认 500/990 → 即使 dist‑upgrade 也无法覆盖。

Layer 3 – 移除 GUI 自动更新陷阱

sudo apt purge update-manager -y
sudo systemctl mask packagekit.service

完全移除图形化更新管理器、关机对话框更新复选框以及后台 refresh 服务。

⏱ 禁用 systemd APT 定时器

sudo systemctl disable apt-daily.service apt-daily-upgrade.service
sudo systemctl disable unattended-upgrades.service
sudo systemctl disable apt-daily.timer apt-daily-upgrade.timer
sudo systemctl stop apt-daily.timer apt-daily-upgrade.timer

sudo apt remove unattended-upgrades -y # 可选

验证防护是否生效

systemctl is-enabled apt-daily.timer # 应显示 disabled
sudo apt-mark showhold | wc -l # 应显示 >= 50
ls -la /etc/apt/preferences.d/ # jetson-l4t-pinning 文件存在
dpkg -l | grep update-manager # 仅剩 core/python 模块（安全）

如何安全安装新软件（保持系统锁定）

# 安装单个包（不升级系统）
sudo apt install <package-name> --no-upgrade

# 仅升级非系统包
sudo apt update
sudo apt upgrade --only-upgrade -o APT::Get::Upgrade-Allow-Downgrades=false

绝对禁止执行的命令：sudo apt upgrade（无参数） / sudo apt dist-upgrade / sudo apt full-upgrade

万一触发更新导致无法启动？恢复步骤

# 进入恢复 shell 后执行
mount -t efivarfs efivarfs /sys/firmware/efi/efivars
chattr -i /sys/firmware/efi/efivars/L4TDefaultBootMode-781e084c-a330-417c-b678-38e696380cb9
rm /sys/firmware/efi/efivars/L4TDefaultBootMode-781e084c-a330-417c-b678-38e696380cb9
rm /sys/firmware/efi/efivars/RootfsStatusSlotA-781e084c-a330-417c-b678-38e696380cb9
rm /sys/firmware/efi/efivars/RootfsStatusSlotB-781e084c-a330-417c-b678-38e696380cb9
reboot

该脚本清除失败的启动标志，允许 Jetson 正常启动。

一键锁定脚本（复制即用）

#!/bin/bash
echo " Locking Down Jetson - No More Auto-Update Crashes"

# 禁用 systemd 定时器
sudo systemctl disable apt-daily.service apt-daily-upgrade.service
sudo systemctl disable unattended-upgrades.service
sudo systemctl disable apt-daily.timer apt-daily-upgrade.timer
sudo systemctl stop apt-daily.timer apt-daily-upgrade.timer

# 持有 NVIDIA 包
sudo apt-mark hold 'nvidia-l4t-*'

# 创建 APT pinning
KERNEL_VER=$(dpkg -l | grep nvidia-l4t-kernel | awk '{print $3}' | head -1 | cut -d'-' -f3)
sudo tee /etc/apt/preferences.d/jetson-l4t-pinning > /dev/null << EOF
Package: nvidia-l4t-*
Pin: version ${KERNEL_VER}*
Pin-Priority: 1001
EOF

# 移除 GUI 更新工具
sudo apt purge update-manager -y
sudo systemctl mask packagekit.service

# 清理
sudo apt autoremove -y
echo " Complete! Your Jetson is now crash-proof."

将此脚本保存为 lockdown_jetson.sh → chmod +x lockdown_jetson.sh → ./lockdown_jetson.sh

重要提醒

安全更新不再自动安装 → 请每几周手动检查并应用非关键更新。
为生产环境保留稳定版本比自动安全更新更关键。

本指南已在 JetPack 6.2 / 内核 5.15.148-tegra-36.4.3 上验证，适用于所有 Jetson 系列（Orin Nano / Xavier NX / AGX / TX2）。

总结

apt-mark hold 锁定 50+ 个 L4T 包
APT pinning 防止依赖冲突覆盖
移除 update-manager + mask packagekit
禁用所有 apt systemd 定时器
提供应急恢复脚本
保留手动安装软件的能力（--no-upgrade）

从此你的 Jetson 将彻底告别自动更新导致的崩溃，同时保持灵活的开发环境。

Related Drobotics guides