1. 工厂设备身份安全烧录工程导入
1.1 课程目标：把“设备身份”做成可量产、可验证的工程能力
在工厂里，设备“能联网”不等于“可信联网”。当一台控制器、网关、摄像头或储能BMS接入产线测试网或客户现场网络时，系统必须能回答三个问题：它是谁、它的身份是否由可信方签发、它是否被篡改或克隆。设备身份安全烧录工程的目标，就是把这三个问题的答案在产线阶段一次性写进设备，并留下可追溯的证据链。
本课程围绕一条主线展开：身份材料如何生成、如何注入、如何验证、如何追溯。学完后，你应能独立完成以下任务：读懂设备身份的数据结构；设计一条安全烧录工位；编写烧录与校验脚本；处理烧录失败与异常；输出可审计的产线记录。课程不追求密码学理论推导，而是强调“在产线节拍下把安全做对”。
1.2 工厂设备身份的定义与范围
工厂设备身份不是单一字段，而是一组绑定关系的集合。它通常包含：
- 唯一标识：设备序列号（SN）、物料编码、产线工位号，用于区分个体。
- 密钥材料：设备私钥、对称密钥或派生种子，必须不可导出、不可读回。
- 证书/凭据：由工厂CA或客户CA签发的设备证书，绑定公钥与SN。
- 配置与策略：安全启动使能位、调试口关闭状态、生命周期状态（如“已烧录/已锁定”）。
- 追溯信息：烧录时间、工位、操作员、固件版本、烧录结果。
范围上，设备身份覆盖从MCU、SoC、安全芯片（SE）、TPM/TEE，到网关、PLC、HMI、传感器节点等所有需要接入网络的终端。对于没有硬件安全单元的廉价设备，身份可能退化为“受保护的密钥文件+证书”，但工程要求不变：私钥不能以明文出现在日志、镜像或可读分区中。
1.3 安全烧录在设备全生命周期中的位置
设备生命周期大致分为：研发样机、产线制造、仓储物流、现场部署、运行维护、退役回收。安全烧录位于产线制造阶段，是身份从“设计”变为“实物”的关键转折点。它上游承接研发输出的密钥策略、证书模板和固件镜像，下游决定现场部署时能否通过双向认证。
如果烧录阶段出错，后果会沿生命周期放大：私钥泄露导致克隆设备无法区分；证书与SN错绑导致现场批量掉线；未锁定调试口导致后期可被读取密钥。因此，安全烧录不是“写个序列号”，而是一次不可逆的身份固化操作，必须与生产MES、密钥管理系统（KMS）和测试工位联动。
1.4 典型产线场景与合规要求
不同产线的安全烧录形态差异很大，但可以归纳为三类典型场景。
场景一：MCU+安全芯片的分立烧录。常见于表计、传感器、充电桩。安全芯片（如ATECC608、SE050）先烧入密钥和证书，MCU再通过I²C读取证书链，私钥始终留在SE内。工位需要处理“SE与MCU配对”问题：若SE已锁定而MCU未烧录，需返修或报废。
场景二：SoC内置安全启动的整机烧录。常见于网关、摄像头、边缘盒子。私钥写入OTP/eFuse或TEE密钥槽，同时烧写已签名的固件镜像。关键参数包括：OTP写入次数（通常1次）、安全启动使能位、回滚版本号。示例：某网关产线要求eFuse写入后立即回读校验，若校验失败则整机标记为“安全异常”，不得进入老化测试。
场景三：多设备批量烧录与并行工位。常见于模组厂。一台烧录器通过多路夹具同时处理8~16台设备，要求每台设备的SN、证书、密钥一一对应，不能串号。此时MES必须提供“工单-SN-密钥索引”的映射，烧录完成后回传结果，形成闭环。
合规方面，工厂通常需要满足：等保2.0对设备身份鉴别的要求、IEC 62443对嵌入式设备安全生命周期的要求、客户对密钥托管和审计日志的要求。落到产线，就是三件事：密钥不落地明文、烧录过程可追溯、失败设备可隔离。