3. 升级包格式与制作
在设备端 OTA 升级工程中，升级包是贯穿云端、传输链路与设备端 Bootloader 的核心载体。它既要能被云端高效分发，又要能被设备端安全校验、可靠还原。因此，升级包的格式设计本质上是在体积、安全性、兼容性与制作复杂度之间做权衡。本节围绕全量包与差分包两种基本形态，讲清压缩与签名机制，并给出一条可落地的制作流程。
一、全量包与差分包：两种基本形态
全量包（Full Package）包含目标固件的完整镜像，通常由多个分区镜像（如 bootloader、kernel、rootfs、app）打包而成。它的优点是制作简单、升级逻辑清晰、失败可回滚；缺点是体积大，对流量和存储受限的设备不友好。
差分包（Delta Package）只包含新旧版本之间的差异数据，由差分算法（如 bsdiff、hdiffpatch）生成。设备端需要先读取当前固件，再与差分包合并还原出新固件。它的优点是体积可缩小 60%～95%，显著降低传输成本；缺点是制作与还原都依赖准确的旧版本基线，一旦设备固件被篡改或版本不匹配，差分还原就会失败。
选型原则：小容量、弱网、流量敏感的设备优先差分包；首次出厂升级、跨大版本、旧版本碎片化严重或安全要求极高的场景，优先全量包。工程上常采用“差分优先、全量兜底”的双包策略。
二、升级包的内部结构
一个规范的升级包通常由三部分组成：包头（Header）、负载（Payload）和签名（Signature）。包头描述包格式版本、目标设备型号、硬件版本、软件版本、负载长度、压缩算法、哈希算法等元信息；负载是压缩后的镜像或差分数据；签名用于设备端验证包的来源与完整性。
三、压缩与签名机制
压缩的目的是减小传输体积。常见算法有 gzip、lz4、zstd、xz。选择时需权衡压缩率与设备端解压开销：lz4 解压速度极快、内存占用低，适合资源受限的 MCU；zstd 在压缩率与速度之间平衡较好，适合中高端设备；xz 压缩率最高但解压慢、内存大，通常只在存储极度紧张时使用。
签名的目的是保证包的来源可信与内容未被篡改。典型做法是：先对包头与负载计算 SHA-256 摘要，再用厂商私钥对摘要做 RSA/ECDSA 签名，将签名附在包尾。设备端用预置公钥验签，验签通过后再做哈希比对。这里有一个常见误区：只做哈希不做签名。哈希只能检测传输错误，无法防止攻击者替换包并重算哈希，因此哈希必须与签名配合使用。
安全提醒：私钥必须离线保管，签名环节应在受控的发布服务器上完成；设备端公钥应固化在只读分区或安全存储中，防止被替换。签名算法与密钥长度需满足产品安全等级要求。
四、制作流程与参数示例
下面给出一条典型的差分包制作流程，包含差分、压缩、签名三个关键步骤。实际工程中通常封装为脚本或 CI 流水线，保证每次发布可复现。
# 1. 生成差分包（旧版本 old.bin → 新版本 new.bin）
bsdiff old.bin new.bin patch.bin
# 2. 压缩差分数据
lz4 -9 patch.bin patch.bin.lz4
# 3. 生成包头并计算摘要
# header: magic, hw_id, sw_from, sw_to, payload_len, algo
sha256sum patch.bin.lz4 > payload.sha256
# 4. 使用私钥签名
openssl dgst -sha256 -sign private.pem \
-out patch.sig patch.bin.lz4
# 5. 打包为最终升级包
cat header.bin patch.bin.lz4 patch.sig > update_v2.1.0.ota
制作完成后，建议在发布前做一次“模拟设备端还原”验证：用旧版本镜像与差分包合并，比对生成的新镜像哈希是否与目标版本一致。这一步能提前发现基线不匹配、差分算法版本不一致等问题。
五、常见误区与复盘
| 误区 | 后果 | 改进措施 |
|---|---|---|
| 只做哈希不做签名 | 无法防篡改，存在被替换包的风险 | 哈希 + 非对称签名，公钥固化 |
| 差分包基线不唯一 | 设备端还原失败或生成错误固件 | 按版本号管理基线，包头记录来源版本 |
| 压缩算法与设备端不匹配 | 解压失败，升级中断 | 包头声明算法，设备端按声明选择解压器 |
| 包头缺少硬件版本 | 错误包刷入不兼容硬件，导致变砖 | 包头写入 hw_id，设备端强校验 |
| 签名覆盖范围不完整 | 包头被篡改而签名仍通过 | 签名覆盖包头 + 负载，验签后再解析 |
工程建议：升级包格式一旦发布就应保持向后兼容，新增字段通过包头版本号扩展；每次发布保留全量包作为兜底，差分包作为优选，形成“差分优先、全量兜底”的发布策略。制作流程应纳入 CI，自动完成差分、压缩、签名与校验，减少人工操作引入的错误。
掌握升级包的结构、压缩与签名机制，以及可复现的制作流程，是设备端 OTA 适配的基础。只有包本身设计得规范、可验证、可还原，后续的传输、校验、写入与回滚才有可靠的前提。