Lucas. 技术手记

驱动、bootloader、文件系统

嵌入式 SoC 与接口 18：安全启动、固件签名与 A/B 升级

Lucas5 分钟阅读
合集 · 嵌入式 SoC 与接口：从芯片框图到系统调试已发布 50 篇
展开合集目录
  1. 嵌入式 SoC 与接口 01：从摄像头框图认识 SoC
  2. 嵌入式 SoC 与接口 02：电平、地与逻辑阈值
  3. 嵌入式 SoC 与接口 03：差分、阻抗、端接与信号完整性
  4. 嵌入式 SoC 与接口 04：PMIC、供电时序与掉电行为
  5. 嵌入式 SoC 与接口 05：晶振、PLL、时钟树与跨时钟域
  6. 嵌入式 SoC 与接口 06：复位域、看门狗与故障恢复
  7. 嵌入式 SoC 与接口 07：ADC、DAC、参考电压与采样
  8. 嵌入式 SoC 与接口 08：MCU、MPU、SoC 与操作系统
  9. 嵌入式 SoC 与接口 09：CPU、异常、中断与多核
  10. 嵌入式 SoC 与接口 10：GPU：并行计算、图形与数据搬运
  11. 嵌入式 SoC 与接口 11：DSP：滤波、FFT、定点数与饱和
  12. 嵌入式 SoC 与接口 12：NPU：张量计算、片上存储与 TOPS
  13. 嵌入式 SoC 与接口 13：ISP：从传感器 RAW 到可用图像
  14. 嵌入式 SoC 与接口 14：视频编解码器与图像加速器
  15. 嵌入式 SoC 与接口 15：Boot ROM、Bootloader 与系统启动
  16. 嵌入式 SoC 与接口 16：NOR、NAND、擦写与 ECC
  17. 嵌入式 SoC 与接口 17：eMMC：总线模式、内部管理与分区
  18. 嵌入式 SoC 与接口 18：安全启动、固件签名与 A/B 升级
  19. 嵌入式 SoC 与接口 19：寄存器、地址空间与 MMIO
  20. 嵌入式 SoC 与接口 20：SRAM、DDR、带宽与延迟
  21. 嵌入式 SoC 与接口 21：Cache、一致性与可见性
  22. 嵌入式 SoC 与接口 22：DMA、描述符与环形缓冲
  23. 嵌入式 SoC 与接口 23：MMU、IOMMU 与三种地址
  24. 嵌入式 SoC 与接口 24：AXI、AHB、APB 与片内互连
  25. 嵌入式 SoC 与接口 25：零拷贝、dma-buf 与缓冲生命周期
  26. 嵌入式 SoC 与接口 26：共享内存、Mailbox 与核间通信
  27. 嵌入式 SoC 与接口 27：GPIO、Pinmux、上下拉与引脚状态
  28. 嵌入式 SoC 与接口 28：UART、RS-232 与 RS-485
  29. 嵌入式 SoC 与接口 29：I²C：地址、ACK、重复起始与上拉
  30. 嵌入式 SoC 与接口 30：SPI、QSPI 与 Flash 访问
  31. 嵌入式 SoC 与接口 31：定时器、PWM、输入捕获与编码器
  32. 嵌入式 SoC 与接口 32：I²S、PCM、TDM 与音频时钟
  33. 嵌入式 SoC 与接口 33：CAN 与 CAN FD：仲裁、帧和错误状态
  34. 嵌入式 SoC 与接口 34：USB：角色、端点、传输类型与 UVC
  35. 嵌入式 SoC 与接口 35：SD 与 SDIO：存储卡和外设功能
  36. 嵌入式 SoC 与接口 36：Ethernet：MAC、PHY、MDIO 与吞吐
  37. 嵌入式 SoC 与接口 37：PCIe：链路、枚举、BAR、中断与 DMA
  38. 嵌入式 SoC 与接口 38：MIPI 全景：CSI、DSI 与 PHY
  39. 嵌入式 SoC 与接口 39：摄像头接入：供电、复位、MCLK 与配置
  40. 嵌入式 SoC 与接口 40：CSI-2：数据类型、虚拟通道与带宽预算
  41. 嵌入式 SoC 与接口 41：显示链路：DSI、RGB、LVDS 与 HDMI
  42. 嵌入式 SoC 与接口 42：设备树、probe、IRQ 与资源生命周期
  43. 嵌入式 SoC 与接口 43：实时性、中断延迟与优先级反转
  44. 嵌入式 SoC 与接口 44：万用表、示波器、逻辑分析仪与 JTAG
  45. 嵌入式 SoC 与接口 45：综合排障：无图、花屏、丢帧与 NPU 慢
  46. 嵌入式 SoC 与接口 46：选修：Wi-Fi、Bluetooth 与蜂窝通信
  47. 嵌入式 SoC 与接口 47：选修：工业以太网、EtherCAT 与 TSN
  48. 嵌入式 SoC 与接口 48：选修：FPGA、流水线与时序约束
  49. 嵌入式 SoC 与接口 49：选修：长距离视频 SerDes 与 A-PHY
  50. 嵌入式 SoC 与接口 50：选修：温度、功耗、EMC 与长期可靠性
嵌入式 SoC 与接口 18：安全启动、固件签名与 A/B 升级的封面

第 18 / 50 课 · 核心课程。返回课程合集。

校验和与可信来源不同

哈希可以发现内容变化，但若攻击者同时替换镜像和哈希，单独比较哈希不能判断来源。数字签名需要可信公钥或信任根；安全启动把验证关系延伸到后续执行组件。

签名有效不保证版本足够新。防回滚需要独立的版本策略和可靠保存的状态；也不能把任意修改版本号当作可信版本证明。哪些镜像、配置和设备树被保护，应明确列入验证范围。

A/B 解决恢复，不自动解决信任

将新镜像写到非活动槽，完整验证后标记待试启动；启动成功并通过业务健康检查才确认。失败次数超过策略后回到已知可用槽。下载完整、写入完成、镜像可信和业务可用是不同阶段。

升级元数据自身也需抗掉电设计。若先切换活动标志再写镜像，掉电会指向不完整槽；若过早提高不可回退版本，又可能阻断回退恢复路径。

安全启动、固件签名与 A/B 升级：信任链、非活动槽写入、试启动与确认

练习与参考结论

画出下载、写入、校验、试启动、确认五个状态，在每个边界假设掉电并写出下次启动选择。不要使用“应该不会断电”作为状态转移条件。

签名实验与交付流程接固件签名升级系列。本课代码只模拟槽状态机，不是密码实现，也不写实际启动分区。

配套代码

下载包包含独立运行所需文件，使用 Python 标准库；这里验证机制和计算，不代表开发板测量结果。

运行本课机制与计算示例

查看完整代码：main.py
"""A/B 状态演示；布尔校验标记不是密码学验证。"""

import copy


def boot(state):
    pending = state["pending"]
    if pending is not None:
        if state["valid"][pending] and state["tries"] > 0:
            state["tries"] -= 1
            return pending
        state["pending"] = None
    return state["confirmed"]


def main():
    initial = {
        "confirmed": "A",
        "pending": None,
        "valid": {"A": True, "B": False},
        "tries": 0,
    }
    writing = copy.deepcopy(initial)
    assert boot(writing) == "A"
    staged = copy.deepcopy(initial)
    staged["valid"]["B"] = True
    assert boot(copy.deepcopy(staged)) == "A"
    staged.update(pending="B", tries=2)
    failure = copy.deepcopy(staged)
    assert [boot(failure) for _ in range(3)] == ["B", "B", "A"]
    success = copy.deepcopy(staged)
    assert boot(success) == "B"
    success.update(confirmed="B", pending=None)
    assert boot(success) == "B"
    print(
        "incomplete write: A; uncommitted candidate: A; two failed trials: B B A; confirmed: B"
    )
    print("真实系统还需原子元数据、签名、防回滚及掉电验证")


if __name__ == "__main__":
    main()
下载代码

在项目根目录执行；下载包解压后，在解压目录执行 python3 main.py。

cd 'content/posts/驱动、bootloader、文件系统/嵌入式SoC与接口/18-安全启动、固件签名与 A与B 升级/code' && python3 main.py

延伸阅读

上一课：eMMC：总线模式、内部管理与分区 · 下一课：寄存器、地址空间与 MMIO