1. 课程导入与工程全景
在 Nordic 的无线产品谱系中，nRF54 系列是面向新一代低功耗蓝牙、Thread、Zigbee 与 2.4 GHz 专有协议的多协议 SoC 家族。与 nRF52 系列相比，它不只是主频和 Flash 容量的提升，而是把 MCU 子系统、无线子系统、安全子系统和电源管理重新组织成更清晰的分区结构。理解这套结构，是理解 DFU（Device Firmware Update，设备固件升级）与后续运维工程的前提。
一、nRF54 的架构分区与 DFU 的物理落点
从工程视角看，nRF54 可以拆成四个相互配合的部分：应用域（Application core，Cortex-M33，负责业务逻辑与协议栈上层）、无线域（Radio core，负责低层射频与实时协议时序）、安全域（包含 KMU 密钥管理单元、CryptoCell 加密加速器、受保护的 RRAM/OTP 区域）、以及电源与复位域（PMU、看门狗、复位源寄存器）。nRF54H 系列采用多核异构设计，nRF54L 系列则是单核加外设的精简形态，但两者在 DFU 上的关键约束是一致的：升级镜像必须被写入正确的分区，并且写入后必须通过安全启动链的校验才能被跳转执行。
这意味着 DFU 不是一个孤立的“传文件”动作，而是横跨存储布局、安全策略、通信链路和电源可靠性的系统工程。下图给出 nRF54 从镜像生成到新固件运行的信号与数据流关系，也是本课程后续章节反复回到的主干。
二、DFU 在设备全生命周期中的位置
把设备生命周期拉成一条线，DFU 出现在四个阶段，且每个阶段的关注点不同。第一阶段是研发验证期：工程师频繁刷写，关心的是刷写速度、调试口是否可用、能否一键恢复变砖设备。第二阶段是产线烧录期：需要把 Bootloader、协议栈、应用固件和密钥一次性写入，并保证每台设备的密钥唯一、版本可追溯。第三阶段是现场运行期：这是 DFU 真正的主战场，设备已经安装在客户现场，可能通过 BLE 网关、串口或蜂窝链路远程升级，必须考虑断网、断电、弱信号和分批灰度。第四阶段是退役与回收期：需要擦除密钥、清除用户数据，防止固件被读出复用。
很多团队把 DFU 当成“写个升级功能”，结果在现场遇到三类典型问题：升级到一半断电导致设备无法启动；新旧固件版本不兼容导致协议栈无法通信；密钥管理混乱导致签名校验失败。这些问题的根源都不在传输代码，而在分区规划、安全策略和运维流程。
三、运维工程的核心挑战
结合 nRF54 的特性，运维工程要面对以下挑战：
- 存储与分区约束：nRF54 使用 RRAM 等新型非易失存储，擦写粒度与 nRF52 的 Flash 不同，分区表必须与链接脚本、Bootloader 配置严格对齐，否则会出现“升级成功但无法启动”。
- 安全启动与防回滚：签名校验、版本单调递增、密钥存储位置（KMU/OTP）一旦配置错误，设备可能永久拒绝合法固件。
- 弱网与断电可靠性：BLE 升级在信号波动下容易丢包，必须设计分片确认、断点续传和掉电恢复。
- 批量运维的可观测性：几百上千台设备同时升级时，需要知道哪些成功、哪些失败、失败在哪个阶段，而不是只看到“升级失败”。
- 版本与密钥的长期一致性：产线、售后、研发使用的密钥和版本策略必须统一，否则会出现“研发能升、现场不能升”的割裂。
四、学习路线图
本课程按“先看清结构，再打通链路，最后建立运维体系”的顺序展开。建议按以下路径推进：
- 架构与存储基础：掌握 nRF54 的分区布局、RRAM 特性、Bootloader 与应用的地址关系。
- DFU 机制与协议：理解 MCUmgr/SMP 的传输模型、镜像格式、签名与校验流程。
- 本地与无线升级实操：从串口、USB 到 BLE 的完整升级链路搭建与验证。
- 安全与密钥管理：KMU、签名密钥、防回滚策略的配置与验证。
- 可靠性与回滚：断电恢复、双槽切换、失败回退的设计与测试。
- 批量运维与可观测性：版本台账、灰度策略、升级日志与失败分析。
需要强调的是，DFU 的成败往往不取决于升级代码本身，而取决于对设备存储、安全和运维约束的理解深度。把本节的全景图当作后续排查问题的索引：当升级失败时，先判断问题发生在构建侧、传输侧、设备内部校验侧，还是运维策略侧，再进入对应章节深入。