📚 课程目录第1章课程导入

1. 课程导入

在嵌入式 Linux 产品量产之后，最棘手的问题往往不是“如何把系统跑起来”，而是“如何在不拆机、不接串口、不返厂的前提下，把新固件安全地推到现场设备上”。U Boot 网络 OTA 部署正是解决这一问题的关键技术路径：它利用 U-Boot 自身的网络栈（通常是以太网或 Wi-Fi），在引导阶段从远端服务器拉取镜像，写入 eMMC、NAND 或 SPI Flash，并完成校验、切换与重启。相比依赖用户态系统的升级方案，它具备“系统损坏仍可恢复”的天然优势，是工业网关、边缘计算盒、车载终端等设备的标配能力。

一、学习目标：从“能启动”到“能远程可靠升级”

本课程的目标不是简单罗列 U-Boot 命令，而是建立一条可落地的工程能力链。完成学习后，你应当能够：

理解 U-Boot 网络启动与网络 OTA 的差异，明确各自适用边界；
独立配置 bootcmd、bootargs、ipaddr、serverip 等关键环境变量，并解释其作用；
使用 TFTP、HTTP、NFS 等协议完成镜像传输，并设计断点续传与超时重试策略；
掌握镜像校验（SHA256、RSA 签名）、分区写入（mmc write、nand write、sf update）与 A/B 双分区切换；
构建可回滚的升级流程，避免“升级失败即变砖”的单点风险；
能够定位常见故障：网络不通、镜像损坏、分区写错、环境变量丢失、启动卡死。

核心判断标准：一次合格的 OTA 升级，必须同时满足“可传输、可校验、可写入、可回滚、可验证”五个条件。缺少任何一项，都不能称为生产级方案。

二、核心价值：为什么必须在 U-Boot 阶段做 OTA

很多初学者会问：Linux 用户态已经有 swupdate、RAUC、mender 等成熟框架，为什么还要回到 U-Boot？原因在于故障域不同。用户态升级依赖当前系统正常运行，一旦根文件系统损坏、内核 panic 或存储驱动异常，升级通道本身就会失效。而 U-Boot 网络 OTA 运行在操作系统之前，只要 CPU、内存、网络控制器和存储控制器基本可用，就能完成恢复。它相当于设备的“最后一道远程救援通道”。

其核心价值可以归纳为三点：

可恢复性：即使 rootfs 完全损坏，仍可通过 U-Boot 重新拉取镜像并写入。
可自动化：结合 DHCP、TFTP/HTTP 和脚本，可实现上电自动检查版本并升级。
可验证性：在写入前完成哈希与签名校验，避免刷入错误或恶意固件。

三、整体知识框架：一条从传输到启动的完整信号链

下图展示了 U-Boot 网络 OTA 的端到端数据流与关键决策点。它把“服务器侧镜像仓库”“网络传输”“U-Boot 环境变量与脚本”“存储分区”“启动切换”串成一条链，便于你建立全局视角。

这条链路上，任何一环出问题都会导致升级失败。因此课程后续章节会分别深入：网络配置、传输协议、镜像格式、校验机制、分区操作、脚本编写、回滚策略与故障排查。

四、实战路线图：从零搭建到量产验证

为了让学习路径清晰，建议按以下五个阶段推进。每个阶段都有明确的交付物，避免“只看不练”。

阶段	核心任务	关键命令/配置	交付物
1. 环境准备	搭建 TFTP/HTTP 服务器，配置开发板网络	`setenv ipaddr 192.168.1.100` `setenv serverip 192.168.1.10`	可 ping 通的 U-Boot 网络
2. 手动传输	使用 tftp/wget 拉取镜像到内存	`tftp 0x82000000 uImage` `wget 0x82000000 http://.../rootfs.img`	内存中完整镜像
3. 校验与写入	哈希校验后写入指定分区	`sha256sum 0x82000000 0x2000000` `mmc write 0x82000000 0x1000 0x2000`	分区内正确固件
4. 自动化脚本	编写 bootcmd 实现上电自动升级	`setenv bootcmd 'run ota_check; run boot_normal'`	可重复执行的升级流程
5. 回滚与量产	A/B 切换、失败回滚、批量验证	`setenv bootpart 1` `saveenv`	可量产部署方案

五、典型场景与常见误区

典型场景：某工业网关部署在无人值守机房，现场无串口、无 USB。设备运行三个月后 rootfs 损坏，无法进入 Linux。此时 U-Boot 网络 OTA 成为唯一远程恢复手段：上电后 U-Boot 自动 DHCP，从 HTTP 服务器下载签名镜像，校验通过后写入备用分区，切换启动指针并重启，设备恢复业务。整个过程无需现场干预。

常见误区一：把 OTA 脚本直接写在 bootcmd 里，没有超时和重试。网络抖动时设备会卡在下载阶段，看门狗复位后再次卡住，形成死循环。

常见误区二：只校验镜像大小，不校验哈希或签名。传输过程中一个比特翻转就可能导致内核无法启动。

常见误区三：直接覆盖当前唯一分区。一旦写入中断，设备彻底无法启动。正确做法是保留旧分区，写入备用分区后再切换。

常见误区四：忽略环境变量保存。升级后未执行 saveenv，重启后分区指针恢复旧值，升级“看似成功实则无效”。

六、学习建议与前置知识

本课程假设你已具备基本的 Linux 命令行操作能力，了解嵌入式启动流程（ROM Code → SPL → U-Boot → Kernel → rootfs），并接触过至少一种存储介质（eMMC、NAND 或 SPI Flash）。如果对设备树、分区表或网络协议不熟悉，建议先补齐基础，再进入后续章节。

# 建议的课前检查清单
1. 开发板可进入 U-Boot 命令行
2. 串口或调试终端可用
3. 主机已安装 tftp-hpa / nginx / dnsmasq
4. 开发板与主机在同一网段
5. 已备份原始分区表与环境变量
6. 准备一个可回滚的旧固件版本

当你完成本课程后，再回头看这条数据流图，会发现每一个方框都对应一组可验证的命令和参数。U-Boot 网络 OTA 并不神秘，它的可靠性来自“传输—校验—写入—切换—验证”这条闭环链路的严谨设计。接下来，我们将从网络环境配置开始，逐步把这张图变成你手中可运行的工程实践。