2. 固件基础
固件（Firmware）是固化在硬件设备非易失性存储器中的底层软件，它介于纯硬件与上层操作系统之间，负责完成硬件初始化、外设驱动、启动引导以及设备基础功能调度。与普通应用软件不同，固件与具体硬件型号、芯片平台、板级配置强绑定，一旦损坏，设备往往无法进入系统，甚至无法被识别。因此，理解固件的定义、组成结构、存储介质和启动流程，是设计升级与回滚方案的前提。
一、固件的定义与本质
从工程视角看，固件可以理解为“设备上电后最先运行、且与硬件生命周期绑定最紧密的软件集合”。它通常包含引导程序、硬件抽象层、设备驱动、基础服务、配置参数以及可选的应用程序。固件的核心特征有三点：
- 非易失性：断电后仍保留，通常存放在 Flash、EEPROM、ROM 等介质中。
- 硬件强相关：同一份固件通常不能跨芯片平台或板级版本直接运行。
- 启动关键路径：固件中的引导部分一旦损坏，设备可能无法启动，升级回滚必须优先保护该路径。
二、固件的组成结构
典型嵌入式固件可划分为若干层次，从下到上依次为：
- Boot ROM：芯片出厂固化的最底层启动代码，负责加载一级引导程序，通常不可升级。
- Bootloader：如 U-Boot、GRBL、MCUboot，负责初始化时钟、内存、串口等，加载并校验主固件。
- 分区表与元数据：描述各分区地址、大小、版本、校验值，是升级回滚的“地图”。
- 主固件镜像：包含 RTOS/Linux 内核、驱动、协议栈、业务逻辑。
- 配置区：保存设备参数、校准数据、网络配置，升级时通常需要保留或迁移。
- 备份/恢复区：存放旧版本或出厂版本，用于回滚。
三、存储介质与分区布局
固件常见存储介质包括 NOR Flash、NAND Flash、eMMC、SPI Flash 以及部分场景下的 EEPROM。不同介质的擦写粒度、寿命、坏块管理和访问方式不同，直接影响升级策略。例如 NOR Flash 支持字节级读取、扇区擦除，适合存放 Bootloader；NAND Flash 存在坏块，需要 ECC 和坏块管理，适合大容量主固件；eMMC 则具备块设备接口，适合 Linux 类系统。
下面是一个典型的双分区回滚布局示例：
分区名 起始地址 大小 用途
bootloader 0x00000000 256KB 一级引导，通常不随应用升级
slot_a 0x00040000 4MB 主固件 A 区
slot_b 0x00440000 4MB 主固件 B 区（备份/回滚）
config 0x00840000 256KB 设备配置，升级时保留
meta 0x00880000 64KB 版本号、校验值、启动标志
factory 0x00890000 2MB 出厂固件，只读保护
这种 A/B 双分区结构是回滚设计中最常见的模式：当前运行 A 区时，新固件写入 B 区；升级成功后切换启动标志到 B 区；若 B 区启动失败，Bootloader 根据 meta 区标志回退到 A 区。
四、启动流程与升级回滚的关联
设备启动流程通常为：上电复位 → Boot ROM → Bootloader → 校验并加载主固件 → 跳转执行。升级回滚方案必须嵌入这条链路，而不是独立于启动流程之外。关键关联点包括：
- 启动标志：Bootloader 读取 meta 区中的 active slot、boot count、upgrade flag，决定加载哪个分区。
- 镜像校验：加载前计算 CRC/SHA 或验证签名，校验失败则触发回滚。
- 看门狗与启动确认：新固件启动后需在限定时间内“确认成功”，否则重启并回退。
- 配置迁移：回滚时配置区版本可能不兼容，需要设计向前/向后兼容策略。
五、案例场景：A/B 分区升级失败回滚
某工业网关采用 SPI NOR Flash，分区为 bootloader、slot_a、slot_b、config、meta。当前运行 slot_a 的 v1.2 固件，升级 v1.3 时写入 slot_b，并在 meta 中设置 next_slot=b、boot_count=0。重启后 Bootloader 加载 slot_b，若 v1.3 在 30 秒内未调用“启动确认”接口，看门狗复位，Bootloader 将 boot_count 加 1；超过 3 次后自动将 active_slot 改回 a，并清除升级标志。整个过程无需人工干预，设备恢复至 v1.2 可用状态。
meta 区关键字段示例：
active_slot = a
next_slot = b
boot_count = 2
max_retry = 3
upgrade_flag= 1
crc_slot_a = 0x8F3A21C4
crc_slot_b = 0x1B77E09D
六、常见误区与复盘
误区一：只备份主固件，忽略 Bootloader 和 meta。若 Bootloader 升级失败，设备可能彻底无法启动，必须保留不可升级的 Boot ROM 或双 Bootloader 方案。
误区二：回滚时直接覆盖 config 区。配置区可能包含校准参数和网络密钥，回滚固件版本与配置版本不兼容时，会导致设备功能异常。
误区三：没有启动确认机制。新固件“能启动”不等于“能正常工作”，必须由应用层显式确认，否则看门狗无法区分“启动成功”与“反复崩溃”。
复盘来看，固件基础决定了回滚方案的上限：分区布局是否支持双镜像、meta 是否具备原子更新能力、Bootloader 是否具备校验与回退逻辑、配置区是否可迁移，这些都在设计初期确定。升级回滚不是简单的“写 Flash”，而是围绕启动流程构建的一套可验证、可恢复、可观测的状态机。
| 固件要素 | 对升级的影响 | 对回滚的影响 |
|---|---|---|
| Bootloader | 决定是否支持双分区加载 | 回滚执行者，必须稳定可靠 |
| 分区表 / meta | 决定新固件写入位置 | 记录启动标志与重试次数 |
| 主固件镜像 | 升级主体，需校验完整性 | 旧镜像必须保留且可读 |
| 配置区 | 升级时需保留或迁移 | 回滚时需兼容旧版本格式 |
| 存储介质 | 影响擦写粒度与升级速度 | 影响备份区寿命与坏块管理 |
掌握固件定义、组成结构、存储介质和启动流程后，才能进一步设计升级协议、校验策略、回滚触发条件和版本管理规则。固件基础不是背景知识，而是回滚方案能否落地的根本约束。