4、固件包管理：差分升级与全量升级的选择、固件包压缩算法、固件包签名与加密
各位好，我是老周。今天咱们聊聊固件包管理。说实话，这部分是OTA升级里最容易出幺蛾子的地方。我见过太多项目，算法选对了，签名没做好，结果升级包被篡改，设备变砖。也见过压缩率没算好，导致升级时间过长，用户投诉不断。
嗯，咱们一个一个来拆解。
4.1 差分升级 vs 全量升级：怎么选？
先问个问题：你的设备每次升级，是直接推送整个固件，还是只推送变化的部分？
全量升级，顾名思义，就是把完整的固件镜像整个发下去。差分升级，只发新旧版本之间的差异部分。
我个人习惯，先看这几个维度：
| 对比维度 | 全量升级 | 差分升级 |
|---|---|---|
| 包体大小 | 大（完整镜像） | 小（仅差异部分） |
| 生成复杂度 | 低（直接打包） | 高（需要bsdiff等工具） |
| 设备端计算量 | 低（直接写入） | 高（需要还原合并） |
| 适用场景 | 首次升级、跨版本升级 | 小版本迭代、频繁升级 |
| 失败风险 | 低 | 中（依赖旧版本完整性） |
我建议这样选：
- MCU类设备（Flash 256KB~2MB）：优先差分升级。包体小，省带宽。但要注意，如果设备从v1.0直接跳到v3.0，差分链太长，不如直接全量。
- Linux类设备（Flash 64MB以上）：全量升级更稳妥。差分虽然能省流量，但rootfs的差异计算量很大，设备端还原时容易内存不足。
- 低功耗/窄带物联网设备：必须差分。NB-IoT、LoRa这些场景，带宽就是命。我曾经有个项目，全量包1.2MB，用NB-IoT传了40分钟还没传完，换成差分包只有180KB，5分钟搞定。
避坑指南：我曾经踩过一个坑——差分升级时，设备端旧固件被意外擦除了。结果还原到一半，发现缺少参考版本，整个设备变砖。后来我强制要求：差分升级前，必须校验旧固件的完整性，并且保留一份备份在安全分区。
4.2 固件包压缩算法：gzip、lzma、zstd
包体大小决定了传输时间。压缩算法就是干这个的。但压缩率和解压速度，往往是一对矛盾。
我整理了一张对比表，方便你选型：
| 算法 | 压缩率 | 解压速度 | 内存占用 | 适用场景 |
|---|---|---|---|---|
| gzip | 中等（约50%~60%） | 快 | 低（约32KB） | MCU、资源受限设备 |
| lzma | 高（约30%~40%） | 慢 | 高（约256KB+） | Linux、大包体场景 |
| zstd | 高（约35%~45%） | 极快 | 中等（约128KB） | 通用推荐、新项目首选 |
我的经验：
- gzip：老牌算法，几乎所有嵌入式平台都有硬件加速。如果你的MCU只有几十KB RAM，gzip是唯一选择。但压缩率确实一般。
- lzma：压缩率最高，但解压速度慢。我在一个Linux网关项目里用过，固件从8MB压到2.8MB，但解压花了12秒。用户觉得升级太慢。后来换成了zstd。
- zstd：我现在的新项目，默认都用zstd。Facebook出品，压缩率接近lzma，解压速度比gzip还快。而且支持多级压缩级别，你可以根据设备算力动态调整。
小技巧：在服务器端生成固件包时，可以用zstd的--ultra参数，压缩级别设到19，包体最小。设备端解压时用默认级别1，速度最快。这叫“服务器端多花时间，设备端少花时间”。
4.3 固件包签名与加密
这部分是安全底线。没有签名和加密的OTA，就像没锁门的银行。
先说签名：签名保证固件包的完整性和来源可信。设备端收到包后，用公钥验签，确认包没有被篡改过。
我常用的签名流程：
- 服务器用私钥对固件包的哈希值签名
- 将签名附加到固件包尾部
- 设备端用预置的公钥验签
- 验签通过后，才允许刷写
再说加密：加密保证固件包的机密性。防止别人抓包分析你的固件内容。
加密方式有两种：
- 对称加密（AES）：速度快，适合MCU。但密钥分发是个难题。
- 非对称加密（RSA/ECC）：安全性高，但计算量大。适合Linux设备。
我个人习惯的做法是：混合加密。用RSA加密AES密钥，再用AES密钥加密固件包。这样既保证了安全性，又兼顾了性能。
关键点：签名和加密是两回事。签名防篡改，加密防泄露。两者都要做，缺一不可。我见过有些方案只做了签名没做加密，结果固件里的敏感信息（比如WiFi密码、云平台密钥）被直接扒出来了。
下面这张图，是我自己总结的固件包生成与验证流程：
重要提醒：密钥管理是签名加密中最薄弱的环节。我曾经见过一个项目，把私钥直接硬编码在服务器代码里，结果代码泄露，私钥也暴露了。建议使用HSM（硬件安全模块）或密钥管理服务来保护私钥。设备端的公钥，也要放在安全存储区，比如MCU的OTP区域或Linux的TEE环境。
最后说一句：固件包管理没有银弹。差分升级省流量但增加复杂度，zstd压缩率高但需要更多内存，签名加密安全但增加包体大小和计算时间。你需要根据设备的硬件资源、网络带宽、安全等级来权衡。
嗯，这一节就到这里。记住：选型时多花点时间想清楚，上线后就能少踩坑。