1. 课程导入与安全启动全景
STM32N6 是 ST 推出的面向边缘 AI 与高性能嵌入式视觉的 MCU，内置 Neural-ART 加速器与 Cortex-M55 内核，同时把“安全”从可选功能提升为系统级基础能力。对量产设备而言，固件一旦被篡改、回滚或替换，攻击者就可能绕过业务逻辑、窃取模型或密钥，甚至把设备变成攻击跳板。因此，本课程围绕两条主线展开：安全启动（Secure Boot）确保“只运行可信固件”，固件升级（Firmware Update）确保“可信地更新固件”。两者共同构成设备从出厂、部署到运维全生命周期的信任链。
学习目标与核心概念
学完本课程，你应当能够独立完成以下任务：理解 STM32N6 的启动信任根与启动阶段划分；配置并验证安全启动相关选项字节与密钥；使用 STM32CubeProgrammer、STM32CubeIDE 或 CLI 工具生成签名固件并烧录；设计基于双槽（Slot）与版本号的防回滚升级方案；在升级失败时通过回滚或恢复模式让设备重新可用；并能对启动失败、签名校验失败、版本拒绝等典型故障进行定位。
核心概念需要先建立统一语言。信任根（Root of Trust, RoT）是系统中不可被篡改的最小可信基础，STM32N6 的 RoT 建立在芯片内部只读区域与硬件密钥之上。信任链（Chain of Trust）指从 RoT 开始，逐级校验下一阶段代码的完整性与真实性，只有通过校验才移交控制权。签名与哈希用于验证固件未被修改且来源可信：通常先对固件计算哈希，再用私钥对哈希签名，设备端用公钥验签。防回滚通过单调递增的版本计数器或安全计数器实现，拒绝安装低于当前安全版本的固件。双槽升级指在 Flash 或外部存储中保留两个固件槽位，新固件写入非活动槽，校验通过后再切换启动槽，从而保证升级失败仍可回退。
整体框架：从信任根到应用
STM32N6 的安全启动通常可抽象为四个阶段：芯片上电后，Boot ROM 首先执行，它读取启动模式与选项字节，决定从内部 Flash、外部 Flash 还是系统存储器启动；随后 Boot ROM 或 FSBL（First Stage Boot Loader）使用内置公钥或哈希对下一级镜像进行校验；校验通过后，FSBL 初始化外部存储、时钟与安全外设，并校验应用固件；最后应用固件运行，进入正常业务或升级服务模式。若任一阶段校验失败，设备应进入受控的恢复或错误状态，而不是继续执行未知代码。
下图给出 STM32N6 安全启动与升级的整体关系：左侧是信任根与启动阶段，右侧是升级时的双槽与版本判断，中间通过密钥、哈希和版本计数器关联。图中“校验失败”分支指向恢复模式，体现安全设计中的失败安全原则。
典型应用场景与工程约束
在工业网关、智能摄像头、车载终端和医疗设备中，STM32N6 的安全启动与升级通常同时满足三类需求：防篡改，攻击者无法把修改后的固件刷入设备；防回滚，不能通过降级到存在漏洞的旧版本绕过修复；可恢复，现场升级失败后设备仍能回到可用状态。以一台边缘 AI 摄像头为例，出厂时在 Slot A 烧录 v1.0.0 并锁定安全启动；运维阶段通过 OTA 把 v1.1.0 写入 Slot B，设备校验签名与版本后切换启动；若 v1.1.0 启动失败，Boot ROM 或 FSBL 根据元数据回退到 Slot A，保证设备不“变砖”。
工程上需要特别关注几个约束。第一，密钥生命周期：私钥应在受控环境生成并离线保存，设备端只烧录公钥或公钥哈希；一旦密钥泄露，整条信任链失效。第二，存储布局：内部 Flash、外部 OSPI Flash 与备份寄存器的地址、扇区和对齐要求必须与链接脚本、选项字节一致，否则会出现“签名正确但启动失败”。第三，版本策略：安全版本计数器只能递增，升级包必须携带版本号，设备端在写入前先比较，避免无效写入。第四，调试接口：量产设备应关闭或限制 JTAG/SWD，防止通过调试口读取密钥或跳过校验。
本课程的组织方式
后续章节将按“概念—配置—实现—验证—排障”的节奏推进：先讲清 STM32N6 的启动模式、选项字节与密钥存储；再进入签名固件生成、烧录与校验；然后实现双槽升级、版本检查与回滚；最后通过故障注入和日志分析完成排障训练。每节都会给出可复现的参数示例与判断依据，帮助你把安全启动从“知道概念”推进到“能配置、能验证、能定位问题”。
在开始动手前，建议先准备一块 STM32N6 开发板、ST-LINK 调试器、STM32CubeProgrammer 与 STM32CubeIDE，并确认你使用的 SDK 版本支持安全启动相关命令。后续示例中的密钥、版本号和地址均为教学假设，实际项目应替换为你自己的密钥与存储规划。