📚 课程目录第3章 SDM固件（SDM Firmware）

3、SDM 固件（SDM Firmware）：固件组成、启动 ROM、Bootloader（U-Boot SPL）的作用

在 Agilex SoC 的安全启动与配置体系中，SDM（Secure Device Manager） 是一个独立的硬核子系统，负责整个芯片的初始化、配置与安全管理。SDM 固件并非单一镜像，而是由多个阶段、多个组件构成的层次化软件栈。理解其组成与启动流程，是掌握双镜像安全启动的基础。

SDM 固件从物理存储介质（如 QSPI Flash、SD/MMC）加载，按阶段依次执行。其核心组件包括：

组件	存储位置	主要功能
Boot ROM	SDM 内部 Mask ROM（只读）	芯片上电后第一条指令执行；初始化 SDM 最小系统；验证并加载 Bootloader
Bootloader（U-Boot SPL）	外部 Flash（QSPI/SD/MMC）	初始化 DDR、时钟、外设；加载并验证 SDM 固件主镜像（SDM Firmware Image）
SDM Firmware Image	外部 Flash	完整的 SDM 运行时固件；包含配置管理器、安全服务、热复位管理等模块
Configuration Data	外部 Flash（与固件镜像打包）	FPGA 配置比特流、HPS 配置数据、时钟配置表等

关键概念： Boot ROM 是芯片出厂固化的不可修改代码，是信任根（Root of Trust）的起点。Bootloader 和 SDM Firmware Image 存储在外部 Flash 中，必须通过 Boot ROM 的签名验证后才能执行。

Boot ROM 是 SDM 内部的一块 Mask ROM，芯片上电或复位后，SDM 核心直接从 Boot ROM 开始执行。其核心职责包括：

安全要点： Boot ROM 在执行任何外部代码之前，必须完成签名验证。如果验证失败，SDM 会进入安全错误状态，停止启动流程。这是防止恶意固件注入的第一道防线。

在 Agilex 平台上，Bootloader 采用 U-Boot SPL（Secondary Program Loader） 实现。SPL 是经过精简的 U-Boot 第一阶段，其代码体积小，适合在 SDM 内部 SRAM 中运行。SPL 的主要任务包括：

注意： SPL 本身必须由 Boot ROM 验证通过后才能执行。SPL 的代码完整性由 Boot ROM 保证，而 SPL 又负责验证下一阶段的 SDM Firmware Image，形成完整的信任链（Chain of Trust）。

SDM Firmware Image 是一个包含多个组件的复合镜像，通常以 .pof（Programmer Object File） 或 .jic（JTAG Indirect Configuration） 格式存储。其内部结构如下：

组件	说明
Header	镜像版本、长度、校验和、签名信息
SDM Core Firmware	SDM 主运行固件，包含配置管理器、安全服务、热复位管理、错误处理等
FPGA Configuration Data	FPGA 比特流，用于配置 FPGA 逻辑
HPS Configuration Data	HPS 侧配置数据，如时钟配置、引脚复用、PLL 设置等
Signature Block	RSA 签名，用于验证镜像完整性

从 Boot ROM 到 SDM Firmware 的完整信任链如下：

安全启动核心原则： 每一级只执行经过上一级验证的代码，且验证密钥由硬件熔丝保护，不可篡改。任何一级验证失败，启动流程立即终止，芯片进入安全锁定状态。