1. 课程导入与体系概览
在 Nordic nRF 系列（nRF51/nRF52/nRF53/nRF91）产品从研发走向量产、再走向现场部署的过程中，固件升级与现场维护往往是最容易被低估、却最容易造成批量事故的环节。研发阶段一次 OTA 升级失败，可能只是重烧一次板子；而现场部署后一次升级失败，可能意味着数百台设备需要返厂、拆机、重新烧录，甚至导致客户业务中断。本课程的目标，是把“能升级”提升为“可交付、可回滚、可诊断、可批量维护”的完整工程能力。
一、为什么 nRF 设备的升级与维护比想象中更难
nRF 设备通常运行在资源受限的嵌入式环境中：Flash 容量有限（例如 nRF52832 常见 512 KB Flash、64 KB RAM），BLE 连接参数受限于连接间隔与 MTU，现场设备可能处于低功耗休眠、弱信号、电池供电、无调试接口等状态。这些约束叠加在一起，使得升级链路中的每一个环节都可能成为故障点。
更关键的是，nRF 的升级方案并非单一技术，而是一组相互配合的机制：
- Bootloader 与 DFU 服务：负责接收新固件、校验、搬运、跳转，是升级链路的“守门人”。
- SoftDevice 与协议栈：BLE 升级依赖 SoftDevice 提供的连接与 GATT 服务，版本不匹配会导致升级中断。
- 双区/单区升级策略：双区可回滚但占用双倍空间，单区节省空间但失败风险高。
- 签名与安全启动：防止未授权固件写入，但密钥管理不当会导致合法固件被拒绝。
- 现场维护通道：BLE、UART、USB、NFC 等不同通道的可用性与稳定性差异巨大。
因此，本课程不会只讲“如何调用 DFU 库”，而是围绕“升级链路 + 现场维护”两条主线，建立从固件打包、传输、校验、回滚到现场诊断的完整体系。
二、学习目标：从“会烧录”到“能维护”
完成本课程后，你应当能够独立完成以下任务：
- 根据产品形态与资源预算，选择单区/双区、BLE/UART/USB 等升级方案，并说明取舍依据。
- 使用 nRF Util、nrfjprog、SEGGER 工具链生成 DFU 包（.zip）、签名密钥与初始化包，并理解各文件的作用。
- 在 nRF5 SDK 或 nRF Connect SDK（NCS）中配置 Bootloader、分区表与 DFU 服务，完成一次可复现的 OTA 升级。
- 设计现场维护流程：版本查询、升级触发、失败重试、回滚判断、日志采集与批量升级策略。
- 定位常见故障：升级卡在 0%、校验失败、跳转后死机、SoftDevice 版本冲突、电池低压导致中断等。
三、整体框架：一条主线、四个层次
本课程的知识结构可以概括为“一条升级主线 + 四个支撑层次”。升级主线是：固件打包 → 传输 → 校验 → 搬运 → 跳转 → 验证；四个支撑层次分别是：硬件与资源层、Bootloader 与安全层、通信与协议层、现场维护与运维层。下面的 SVG 展示了这一体系的核心关系，以及各层之间的依赖方向。
四、关键术语：先统一语言，再谈实现
在后续章节中，以下术语会反复出现，这里先给出工程语境下的定义，避免混淆：
| 术语 | 含义 | 工程关注点 |
|---|---|---|
| DFU | Device Firmware Update，设备固件升级流程 | 触发方式、传输通道、校验与跳转 |
| Bootloader | 独立于应用的引导程序，负责接收并写入新固件 | 分区布局、入口条件、超时退出 |
| SoftDevice | Nordic 提供的协议栈二进制，BLE 升级依赖其服务 | 版本匹配、内存占用、与 Bootloader 共存 |
| 双区升级 | 新固件先写入备用区，校验通过后再切换 | 可回滚，但 Flash 占用翻倍 |
| 单区升级 | 直接覆盖应用区，依赖 Bootloader 搬运 | 节省空间，失败风险高，需谨慎设计 |
| Init Packet | 升级包中的元数据，含固件类型、版本、签名等 | 校验失败最常见的原因之一 |
| 签名密钥 | 用于验证固件来源合法性的私钥/公钥对 | 密钥丢失或轮换会导致升级链断裂 |
五、一个典型现场场景：升级失败如何定位
假设某款基于 nRF52832 的传感器设备，现场通过 BLE 执行 OTA 升级。升级过程中手机 App 显示进度停在 0%，随后连接断开。此时不应立即怀疑“固件有问题”，而应按链路逐层排查：
- 触发条件：设备是否已进入 Bootloader？可通过 LED 状态、广播名称或 UART 日志确认。
- 传输通道：BLE 连接是否稳定？连接间隔、MTU、信号强度是否满足 DFU 要求。
- 包完整性：.zip 包是否包含正确的 Init Packet？签名是否与设备内公钥匹配？
- 资源约束：备用区是否足够？电池电压是否低于 Bootloader 写入阈值？
- 回滚与恢复：若升级中断，设备是否仍能回到旧固件并重新广播？
这个场景说明：现场维护的核心不是“升级成功”，而是“升级失败后仍可诊断、可恢复”。本课程后续会围绕这条链路，逐一展开工具使用、配置方法、参数选择与故障判断。