第4章固件镜像管理

4、固件镜像管理：镜像版本号规范、镜像签名与校验、镜像存储策略

固件镜像管理，说白了就是给终端设备吃的“药”把好关。药不能乱吃，版本不能乱刷。我见过太多现场事故，都是因为镜像管理混乱导致的。今天咱们就把这块硬骨头啃下来。

4.1 镜像版本号规范

版本号这东西，看着简单，坑却不少。我个人习惯用三段式：主版本.次版本.修订号。举个例子：V2.1.3。

主版本：大功能变更，不兼容旧版。比如从V1跳到V2，通信协议都改了。
次版本：新增功能，但向下兼容。比如加了新的保护算法。
修订号：修bug、小优化。比如修复了某个死循环问题。

我在项目中遇到过，某厂家用日期当版本号，比如20250315。结果同一天发布了三个版本，运维人员彻底懵了。所以，版本号必须唯一且可追溯。

版本号规范建议：

格式：V主版本.次版本.修订号-构建号，例如 V2.1.3-20250315
版本号嵌入在固件头部，方便终端读取
禁止使用“测试版”、“最终版”等模糊命名

你想想看，如果现场有1000台终端，版本号乱成一锅粥，升级时该选哪个？嗯，这里要注意：版本号必须写在固件文件的头部固定偏移处，这样终端上电就能读到。

4.2 镜像签名与校验

镜像签名，说白了就是给固件加个“防伪标签”。我刚开始做配电终端时，觉得这步可有可无。直到有一次，现场终端被刷入了恶意固件，导致整条线路跳闸……嗯，从那以后我再也不敢省略签名校验了。

签名流程其实不复杂：

用哈希算法（比如SHA256）计算固件的摘要
用私钥对摘要进行加密，生成签名
将签名附加到固件尾部

终端校验时，用公钥解密签名，再对比本地计算的摘要。一致就通过，不一致直接拒绝升级。

我的经验：

签名算法推荐RSA-2048或ECDSA。RSA成熟稳定，ECDSA密钥更短。我个人偏向ECDSA，因为终端资源有限，计算更快。

我曾经踩过一个坑：签名校验通过了，但固件还是跑飞了。后来发现，校验范围没包含固件头部。攻击者篡改了头部信息，但没动代码段。所以，校验一定要覆盖整个固件区域，包括版本号、长度、校验和等。

// 伪代码：固件签名校验流程
uint8_t firmware_hash[32];
uint8_t decrypted_signature[32];

// 1. 计算固件哈希
sha256_calculate(firmware_data, firmware_length, firmware_hash);

// 2. 用公钥解密签名
rsa_decrypt(signature, signature_length, decrypted_signature);

// 3. 对比哈希值
if (memcmp(firmware_hash, decrypted_signature, 32) == 0) {
    // 校验通过，允许升级
    start_upgrade();
} else {
    // 校验失败，拒绝升级
    log_error("Firmware signature verification failed");
    abort_upgrade();
}

警告：

私钥必须离线保存，严禁放在编译服务器上。我见过有团队把私钥放在Git仓库里，结果被泄露，整个产品线都得回炉重造。

4.3 镜像存储策略

镜像存储，说白了就是固件放在哪、怎么放、放几份。终端设备存储空间有限，不能像服务器那样随便存。我建议采用双区备份策略。

存储区域	用途	大小建议
Bank A（运行区）	当前运行的固件	2MB
Bank B（备份区）	新固件下载区	2MB
Bootloader区	引导程序，不可擦除	256KB
配置参数区	运行参数、版本号等	128KB

为什么用双区？你想想看，如果只有一个区，升级过程中断电了，终端就变砖了。双区的好处是：升级失败还能回滚到旧版本。

具体流程是这样的：

新固件下载到Bank B
校验签名和完整性
设置启动标志，指向Bank B
重启，Bootloader加载Bank B
如果启动失败，自动回滚到Bank A

存储策略要点：

每个固件镜像头部必须包含：魔数、版本号、长度、校验和、签名
镜像文件建议压缩存储，终端解压后运行。我常用LZMA，压缩比高
存储区必须做坏块管理，尤其是使用NAND Flash时

我曾经遇到过一个案例：某终端升级后频繁重启，查了三天才发现是Bank B的存储区有坏块，导致固件被部分损坏。从那以后，我要求每次下载固件前，先对存储区做全片擦除和坏块扫描。

嗯，这里还要提一句：镜像存储要预留升级日志区。每次升级的结果（成功/失败、失败原因、时间戳）都记录下来。这样现场出问题时，能快速定位是固件问题还是存储问题。

我的小技巧：

在固件头部加一个“兼容性标志位”。比如V2.1.3的固件只能在硬件版本>=2.0的终端上运行。这样能避免把新固件刷到老硬件上，导致设备罢工。