2. 固件升级基础概念

在嵌入式与物联网设备中，固件是设备“出厂即固化”的底层软件，通常存放在 Flash、EEPROM 或 MCU 内部程序区，负责硬件初始化、驱动调度、通信协议栈与业务逻辑。与普通应用软件不同，固件与芯片型号、外设布局、存储分区强绑定，一旦写错，设备可能无法启动。因此，理解固件升级的基础概念，是后续设计升级流程、选择升级方案、排查升级故障的前提。

一、固件定义与升级目的

固件（Firmware）介于硬件与操作系统/应用之间，常见形态包括：MCU 裸机程序、RTOS 应用、Linux 内核+根文件系统、Bootloader 与安全启动链。它通常以二进制镜像（.bin、.hex、.img）形式发布，并带有版本号、校验值、签名和兼容性描述。

升级目的可归纳为四类：

• 修复缺陷：修复通信异常、死机、功耗偏高、传感器读数漂移等问题。
• 增加功能：新增协议支持、算法优化、UI 交互或云端对接能力。
• 安全加固：修补漏洞、更新密钥、启用安全启动或关闭调试接口。
• 合规与适配：满足新法规、新认证，或适配新硬件批次与元器件替代。

但升级并非“越新越好”。若新固件与旧硬件不兼容、分区表不匹配或回滚机制缺失，升级反而会引入批量故障。因此，升级前必须明确目标版本、兼容范围和回滚策略。

二、常见升级类型与关键术语

按传输介质与生效方式，常见升级类型包括：

• 本地升级：通过 U 盘、SD 卡、串口、USB、JTAG 直接写入，适合产线或现场维护。
• OTA 升级：通过 Wi-Fi、蜂窝网、蓝牙、LoRa 等无线通道下发镜像，适合已部署设备。
• 差分升级：只传输新旧镜像差异包，节省流量与时间，但需设备端具备打补丁能力。
• 全量升级：传输完整镜像，逻辑简单、可靠性高，但包体大、耗时长。
• A/B 双分区升级：新镜像写入备用分区，校验通过后切换启动标志，失败可回滚。

关键术语需要统一口径，避免团队沟通歧义：

术语	含义	工程关注点
Bootloader	设备启动后最先运行的程序，负责引导固件	是否支持升级模式、校验与回滚
镜像（Image）	可写入存储区的固件二进制文件	格式、大小、对齐、签名
分区（Partition）	Flash 中划分出的逻辑存储区域	地址、大小、读写权限
校验（Checksum/CRC）	验证数据完整性的短摘要	算法一致性、覆盖范围
签名（Signature）	验证镜像来源与未被篡改	密钥管理、验签时机
回滚（Rollback）	升级失败后恢复旧版本	备份区、启动标志、看门狗
版本号	标识固件迭代的字符串或数字	比较规则、兼容矩阵

三、升级流程的核心原理

无论哪种类型，固件升级都遵循“获取—校验—写入—切换—验证”的基本链路。下图展示了从云端/本地到设备生效的典型数据流与状态切换关系：

该链路中，校验与回滚是可靠性的核心。很多现场事故并非“下载失败”，而是“下载成功但校验被跳过”或“切换后未确认，设备反复重启”。因此，升级状态机必须显式记录当前阶段，并在异常时进入安全状态。

四、典型应用场景与实操片段

不同场景对升级的要求差异很大：

• 消费 IoT：Wi-Fi OTA，强调小包差分、静默升级、低功耗。
• 工业网关：有线+本地 U 盘双通道，强调版本锁定与审计日志。
• 车载 ECU：UDS 诊断刷写，强调安全访问、编程会话与电压稳定。
• 医疗设备：严格签名与权限控制，升级需可追溯、可回滚。

以 Linux 设备 A/B 升级为例，常见操作片段如下：

# 1. 查看当前分区与版本
fw_printenv | grep -E "bootslot|version"
# bootslot=A
# version=1.4.2

# 2. 将新镜像写入备用分区
dd if=/tmp/fw_v1.5.0.img of=/dev/mmcblk0p3 bs=1M conv=fsync

# 3. 校验写入结果
sha256sum /tmp/fw_v1.5.0.img
dd if=/dev/mmcblk0p3 bs=1M count=64 | sha256sum

# 4. 切换启动标志并重启
fw_setenv bootslot B
fw_setenv upgrade_confirm 0
reboot

五、常见误区与复盘要点

初学者最容易踩的坑包括：

1. 只比版本号，不看兼容矩阵：新固件可能要求新 Bootloader 或新分区表，直接刷入会变砖。
2. 把“下载完成”当成“升级成功”：未校验、未切换、未确认，重启后仍运行旧版本。
3. 忽略电源与看门狗：写入过程中掉电或看门狗复位，导致镜像不完整。
4. 没有回滚路径：一旦新固件启动失败，设备无法自动恢复，只能返厂。
5. 密钥与签名管理混乱：测试密钥流入生产，或验签失败后直接放行。