1、导弹制导系统概述：系统架构、安全威胁模型、启动流程总览
各位同学，咱们今天正式开课。我是这个课程的主讲，在军工嵌入式领域摸爬滚打了十几年。说实话，每次讲导弹制导系统，我都觉得肩上的担子不轻。这玩意儿不是闹着玩的，代码里一个bit的翻转，可能就意味着几十公里外的偏差。
好，咱们直接进入正题。第一章，我打算带大家先搭个框架。你得先知道导弹制导系统长什么样，谁在打它的主意，以及它从“冷启动”到“准备发射”到底经历了什么。
1.1 系统架构：三层两总线
我个人习惯把制导系统拆成三个层次来看。你想想看，一个导弹在天上飞，既要算轨迹，又要控制舵面，还得跟地面通信。这些活儿不能全挤在一个CPU里干，风险太大。
所以，典型的架构是这样的：
- 任务管理层：这是大脑。负责导航解算、目标识别、飞行路径规划。一般用高性能的PowerPC或ARM Cortex-A系列处理器。跑的是VxWorks或天脉这类实时操作系统。
- 飞控执行层：这是小脑。负责姿态控制、舵机驱动、传感器数据采集。常用的是DSP或FPGA。要求延迟极低，抖动控制在微秒级。
- 接口适配层：这是神经末梢。负责信号调理、电平转换、总线隔离。说白了，就是让不同电压、不同协议的设备能正常说话。
这三层之间怎么通信？靠两条总线：
| 总线类型 | 典型协议 | 用途 | 安全要求 |
|---|---|---|---|
| 高速数据总线 | FC-AE-1553 / RapidIO | 传输导航数据、目标图像 | 需加密，防重放攻击 |
| 控制总线 | CAN / 1553B | 传输舵面指令、传感器状态 | 需CRC校验，防篡改 |
关键点：任务层和执行层之间，必须做物理隔离或强逻辑隔离。我在项目中遇到过，有人把控制总线的报文误发到了数据总线上，结果导航计算机收到了舵机的位置数据，直接当成目标坐标去解算...嗯，那次试飞差点出事。
1.2 安全威胁模型：谁在盯着你的导弹？
做安全设计，首先得知道敌人是谁。我总结了一下，针对制导系统的攻击，主要分三类：
- 物理攻击：直接拆你的芯片，用探针读Flash，或者用激光打存储器。这属于“硬破解”。
- 通信攻击：在总线上注入假报文，或者截获遥测数据。说白了，就是中间人攻击。
- 软件攻击：利用固件漏洞，植入后门，或者篡改启动代码。这是最隐蔽的。
为什么会这样？因为导弹从出厂到发射，中间要经历运输、存储、挂载、加电等多个环节。每个环节都可能被渗透。我曾经参与过一个项目，对方在存储环节通过JTAG接口把恶意代码写进了Bootloader。结果导弹一上电，直接执行了攻击者的代码，导航参数全被改了。
警告：不要以为导弹在仓库里就是安全的。供应链攻击是当前最大的威胁之一。你的芯片可能在生产线上就被植入了硬件木马。
所以，安全威胁模型必须覆盖整个生命周期。我建议你们画一张图，把每个阶段的风险点标出来。比如：
- 生产阶段：Bootloader被篡改
- 存储阶段：固件被逆向分析
- 加电阶段：启动序列被跳过
- 飞行阶段：控制指令被伪造
1.3 启动流程总览：从冷启动到待发状态
好，咱们来看看导弹是怎么“醒过来”的。启动流程，说白了就是一段从硬件复位到系统就绪的旅程。每一步都藏着安全陷阱。
典型的启动流程分五步：
- 硬件复位与自检：CPU复位，执行固化在ROM里的微码。检查内存、时钟、电源是否正常。这一步叫POST（上电自检）。
- Bootloader加载：从Flash中读取第一段启动代码。Bootloader负责初始化硬件，并验证下一级镜像的签名。
- 操作系统引导：加载VxWorks或天脉内核。这一步会建立内存管理单元（MMU），开启虚拟地址。
- 应用层初始化：启动导航、制导、通信等任务。建立任务间的通信管道。
- 自检与待发：执行全系统自检，确认所有传感器、舵机、总线都正常。然后进入待发状态，等待发射指令。
避坑指南：我曾经在Bootloader阶段踩过一个坑。当时为了加快启动速度，跳过了对Flash存储器的完整性校验。结果有一次，Flash里有个坏块，刚好存着关键配置参数。导弹启动后，导航解算一直报错。从那以后，我再也不敢省这一步了。记住：启动速度可以优化，但安全校验不能省。
这里有个代码片段，展示的是Bootloader中验证签名的一个简化流程。嗯，你们感受一下：
// 伪代码：Bootloader 签名验证
void verify_next_stage(void) {
uint8_t *image_ptr = (uint8_t*)FLASH_BASE_ADDR;
uint32_t image_size = *(uint32_t*)(image_ptr + OFFSET_SIZE);
uint8_t *signature = image_ptr + OFFSET_SIG;
// 计算哈希
uint8_t hash[32];
sha256(image_ptr, image_size, hash);
// 用公钥验证签名
if (rsa_verify(hash, signature, PUBLIC_KEY) != SUCCESS) {
// 验证失败，进入安全模式
enter_safe_mode();
// 这里我建议记录日志，方便事后分析
log_error("Bootloader: Signature verification failed!");
while(1); // 死循环，防止继续执行
}
// 验证通过，跳转到下一级
jump_to_image(image_ptr + OFFSET_HEADER);
}你看，这个流程里，每一步都有安全考量。比如：
- 为什么用SHA256而不是MD5？因为MD5已经被证明有碰撞风险。
- 为什么验证失败要死循环？防止攻击者通过异常返回绕过校验。
- 为什么要记录日志？方便事后分析攻击来源。
好了，第一章的内容就到这里。咱们把架构、威胁模型、启动流程这三个概念先立住。后面每一章，我都会围绕这三个点展开。你想想看，如果连系统长什么样都不知道，你怎么给它做防护？
下一章，咱们深入Bootloader，聊聊安全启动的第一道防线。到时候我会带你们看一个真实的攻击案例，嗯，那是我当年在靶场亲眼见过的。