1. 固件升级概述
大家好，我是你们这门课的老朋友。做嵌入式这行十几年了，我经手过的产品从几毛钱的单片机到上百万的基站设备都有。今天咱们聊的固件升级，说白了就是给设备“换脑子”。
你想想看，一个设备出厂后，代码就焊死在Flash里了。但需求会变、bug会冒出来、安全漏洞会被发现。怎么办？总不能把设备全拆了重新烧录吧？固件升级就是解决这个问题的。
什么是固件升级
固件升级，本质上就是用新版本的二进制镜像替换设备中旧版本的固件。这个镜像通常包含Bootloader、内核、文件系统、应用程序等。
我习惯把固件升级拆成三个核心动作：
- 获取新固件 —— 从本地或远程拿到升级包
- 校验完整性 —— 确保数据没被篡改或损坏
- 写入存储介质 —— 把新固件刷进Flash、eMMC等
核心要点：固件升级不是简单的文件拷贝。它涉及分区管理、版本兼容、异常恢复等一堆坑。我见过太多因为升级失败变砖的产品了。
为什么需要固件升级
这个问题我问过不少刚入行的朋友。答案五花八门，但归纳起来就四个字：修、补、增、改。
| 需求类型 | 典型场景 | 我踩过的坑 |
|---|---|---|
| 修复Bug | 内存泄漏、死锁、协议栈异常 | 曾经有个产品，WiFi断连后重连概率性失败，查了两个月才发现是定时器溢出 |
| 安全补丁 | OpenSSL漏洞、私钥泄露、加密算法过时 | IoT设备被拖进僵尸网络，就是因为固件里用了过时的MD5校验 |
| 功能增强 | 增加新协议、优化UI、提升性能 | 客户要求设备支持MQTT over TLS，不改固件根本没法做 |
| 配置调整 | 修改默认参数、适配不同地区法规 | 欧盟要求WiFi发射功率必须低于某个值，只能通过升级固件来限制 |
说白了，没有固件升级能力的设备，出厂即“死亡”。任何问题都得召回，成本高得吓人。
警告：千万不要在产品发布前才考虑升级方案。我见过一个团队，硬件选型时没留足够Flash空间，结果OTA功能根本塞不进去。最后只能砍掉，被客户骂惨了。
OTA升级与本地升级的区别
这是新手最容易混淆的概念。我直接画张图，大家一看就明白。
嗯，这张图应该很清楚了。我再补充几个关键差异点：
1. 传输方式不同
本地升级走的是有线或近距离存储介质。OTA升级走的是无线网络。我在项目中遇到过，有些客户非要让设备通过LoRa升级固件，那速度慢得让人抓狂——一个128KB的固件要传半小时。
2. 可靠性保障不同
本地升级失败了大不了重烧一次。OTA升级一旦失败，设备可能变砖。所以OTA方案必须做断点续传、版本回滚、双备份等机制。我曾经因为没做双备份，远程升级时网络断了，设备直接变砖，最后只能派人去现场拆机。
3. 安全性要求不同
本地升级通常默认信任烧录工具。OTA升级必须考虑中间人攻击、固件篡改、重放攻击等。我建议所有OTA固件都要做签名校验，而且密钥要放在安全元件里。
我的建议：如果你的产品还在原型阶段，先用本地升级把功能跑通。等硬件定型了，再根据产品形态选择OTA方案。别一上来就搞OTA，容易把自己绕进去。
如何选择升级方式
这个问题没有标准答案。我一般会问自己三个问题：
- 设备部署在哪里？ —— 如果都在工厂车间，本地升级就够了。如果散布在全国各地，必须OTA。
- 升级频率高吗？ —— 一年升级一次，本地升级也能忍。一个月升级一次，还是老老实实上OTA吧。
- 升级失败的成本有多高？ —— 几块钱的传感器，变砖就扔了。几万块的医疗设备，必须做多重保障。
| 场景 | 推荐方式 | 原因 |
|---|---|---|
| 消费级IoT设备 | OTA（WiFi/BLE） | 用户量大、分布广、升级频繁 |
| 工业控制器 | 本地升级 + OTA备用 | 可靠性要求高、现场有维护人员 |
| 汽车ECU | OTA（蜂窝网络） | 必须远程召回、安全要求极高 |
| 开发板/原型 | 本地升级 | 开发阶段、频繁调试、成本敏感 |