嵌入式系统A/B分区升级方案详解：从GPT分区表到Bootloader启动选择的状态机实现

一、A/B分区升级原理与GPT分区表设计

嵌入式设备的固件升级是现场运维的高频操作。传统单分区升级存在致命缺陷：升级过程中断电或写入失败导致设备无法启动（"砖化"）。A/B分区方案通过双系统分区轮流写入，确保设备始终有一个可用的完整固件。

A/B分区架构核心原则：

1. 任何时候只有一个分区为"活跃分区"，Bootloader仅从活跃分区启动
2. 升级写入目标为"非活跃分区"，写入完成后标记为新活跃分区
3. 新分区首次启动成功后，确认升级完成；首次启动失败则回退至旧分区

GPT分区表设计（128MB Flash为例）：

活跃分区标记存储在U-Boot环境变量的active_partition字段中，值为a或b。环境变量区独立于A/B分区，升级过程不修改此区。

二、升级流程与状态机实现

升级过程采用五状态有限状态机，确保任何断电场景下设备可恢复：

状态定义与转换条件：

状态信息存储在U-Boot环境变量中，确保断电后状态可恢复：

// U-Boot环境变量结构定义
typedef struct {
    char active_part;           // 'a' 或 'b'
    char upgrade_state[16];     // "idle/download/write/swap/boot_try/confirm"
    int  boot_fail_count;       // 新分区启动失败计数
    char firmware_version_a[32]; // 分区A固件版本号
    char firmware_version_b[32]; // 分区B固件版本号
    uint32_t download_crc;      // 升级包CRC校验值
} boot_env_t;

// 状态机核心实现
int upgrade_state_machine(boot_env_t *env, upgrade_event_t event)
{
    if (env == NULL) {
        fprintf(stderr, " 环境变量指针为空\n");
        return -1;
    }

    switch (env->upgrade_state[0]) {
    case 'i':  // IDLE
        if (event == EVT_DOWNLOAD_START) {
            strncpy(env->upgrade_state, "download", sizeof(env->upgrade_state));
            env->download_crc = 0;
            save_env(env);
        }
        break;

    case 'd':  // DOWNLOAD
        if (event == EVT_DOWNLOAD_DONE) {
            // SHA256校验通过后进入WRITE
            if (verify_firmware_package(env->download_crc)) {
                strncpy(env->upgrade_state, "write", sizeof(env->upgrade_state));
                save_env(env);
            } else {
                fprintf(stderr, " 升级包校验失败,回退至IDLE\n");
                strncpy(env->upgrade_state, "idle", sizeof(env->upgrade_state));
                save_env(env);
            }
        } else if (event == EVT_DOWNLOAD_FAIL) {
            strncpy(env->upgrade_state, "idle", sizeof(env->upgrade_state));
            save_env(env);
        }
        break;

    case 'w':  // WRITE
        if (event == EVT_WRITE_DONE) {
            strncpy(env->upgrade_state, "swap", sizeof(env->upgrade_state));
            save_env(env);
        } else if (event == EVT_WRITE_FAIL) {
            // 写入失败但旧分区完好,安全回退
            strncpy(env->upgrade_state, "idle", sizeof(env->upgrade_state));
            save_env(env);
        }
        break;

    case 's':  // SWAP
        if (event == EVT_SWAP_DONE) {
            // 切换活跃分区标记
            env->active_part = (env->active_part == 'a') ? 'b' : 'a';
            env->boot_fail_count = 0;
            strncpy(env->upgrade_state, "boot_try", sizeof(env->upgrade_state));
            save_env(env);
            // 触发重启进入新分区
            reboot_device();
        }
        break;

    case 'b':  // BOOT_TRY
        if (event == EVT_BOOT_OK) {
            // 新分区启动成功,确认升级
            strncpy(env->upgrade_state, "confirm", sizeof(env->upgrade_state));
            save_env(env);
        } else if (event == EVT_BOOT_FAIL) {
            env->boot_fail_count++;
            if (env->boot_fail_count >= 3) {
                // 3次启动失败,回退旧分区
                env->active_part = (env->active_part == 'a') ? 'b' : 'a';
                strncpy(env->upgrade_state, "idle", sizeof(env->upgrade_state));
                env->boot_fail_count = 0;
                save_env(env);
                fprintf(stderr, " 新分区3次启动失败,回退至旧分区\n");
            } else {
                // 未达阈值,继续尝试
                save_env(env);
                reboot_device();
            }
        }
        break;

    case 'c':  // CONFIRM
        strncpy(env->upgrade_state, "idle", sizeof(env->upgrade_state));
        save_env(env);
        break;

    default:
        fprintf(stderr, " 未知升级状态: %s\n", env->upgrade_state);
        return -2;
    }
    return 0;
}

三、Bootloader启动选择逻辑

U-Boot启动流程中需读取active_partition环境变量，据此选择从分区A或分区B加载内核。

// U-Boot启动选择逻辑（board.c片段）
int board_boot_partition_select(void)
{
    boot_env_t env;
    int ret = load_env_from_flash(&env);
    if (ret < 0) {
        fprintf(stderr, " 环境变量加载失败,使用默认分区A\n");
        return PARTITION_A;
    }

    // 检查是否处于BOOT_TRY状态
    if (strncmp(env.upgrade_state, "boot_try", 8) == 0) {
        printf(" 首次启动尝试,活跃分区: %c, 失败计数: %d\n",
               env.active_part, env.boot_fail_count);
    }

    int part = (env.active_part == 'b') ? PARTITION_B : PARTITION_A;

    // 构造内核加载地址
    char kernel_part[32];
    snprintf(kernel_part, sizeof(kernel_part),
             "kernel_%c", env.active_part);
    char rootfs_part[32];
    snprintf(rootfs_part, sizeof(rootfs_part),
             "rootfs_%c", env.active_part);

    // 设置U-Boot启动参数
    setenv("kernel_part", kernel_part);
    setenv("rootfs_part", rootfs_part);

    printf(" 选择启动分区: %c (内核: %s, rootfs: %s)\n",
           env.active_part, kernel_part, rootfs_part);

    return part;
}

// U-Boot启动后,应用层确认逻辑（Linux用户空间）
int confirm_upgrade_success(void)
{
    boot_env_t env;
    int ret = load_env(&env);
    if (ret < 0) {
        fprintf(stderr, " 确认升级: 环境变量读取失败\n");
        return -1;
    }

    if (strncmp(env.upgrade_state, "boot_try", 8) == 0) {
        // 首次启动成功,触发确认事件
        printf(" 新分区首次启动成功,确认升级\n");
        ret = upgrade_state_machine(&env, EVT_BOOT_OK);
        if (ret < 0) {
            fprintf(stderr, " 状态机确认失败\n");
            return -2;
        }

        // 标记旧分区为可清除（下次升级可安全写入）
        char old_part = (env.active_part == 'a') ? 'b' : 'a';
        mark_partition_stale(old_part);
    }

    return 0;
}

Bootloader安全机制：

1. 环境变量区写保护：仅SWAP状态允许修改active_partition
2. Watchdog超时：BOOT_TRY状态设置120秒watchdog，超时视为启动失败触发重启
3. 紧急恢复：若3次回退仍失败，Bootloader从USB加载最小恢复镜像

四、升级包签名校验与回滚安全

升级包安全性采用RSA-2048签名+SHA256哈希双重校验：

// 升级包校验与版本检查
int verify_firmware_package(uint32_t expected_crc)
{
    firmware_header_t hdr;
    int ret = read_firmware_header(&hdr);
    if (ret < 0) {
        fprintf(stderr, " 升级包头部读取失败\n");
        return -1;
    }

    // 1. SHA256哈希校验
    uint8_t computed_hash[32];
    ret = sha256_compute_firmware(computed_hash);
    if (ret < 0 || memcmp(computed_hash, hdr.sha256_hash, 32) != 0) {
        fprintf(stderr, " SHA256哈希校验失败\n");
        return VERIFY_FAIL_HASH;
    }

    // 2. RSA-2048签名验证
    ret = rsa_verify_signature(hdr.sha256_hash, hdr.signature,
                                pubkey_embedded, 2048);
    if (ret != RSA_VERIFY_OK) {
        fprintf(stderr, " RSA签名验证失败: %d\n", ret);
        return VERIFY_FAIL_SIG;
    }

    // 3. 版本号递增检查（防回滚攻击）
    boot_env_t env;
    load_env(&env);
    int current_ver = parse_version(env.active_part == 'a'
                                    ? env.firmware_version_a
                                    : env.firmware_version_b);
    int new_ver = parse_version(hdr.version);
    if (new_ver <= current_ver) {
        fprintf(stderr, " 版本回滚攻击检测: 新版本%d ≤ 当前版本%d\n",
                new_ver, current_ver);
        return VERIFY_FAIL_ROLLBACK;
    }

    return VERIFY_OK;
}

防回滚攻击机制：Bootloader环境变量中记录当前活跃分区的固件版本号，新升级包的版本号必须严格递增。此约束写入写保护的环境变量区，攻击者无法篡改版本号以注入旧版本固件。

五、总结

A/B分区升级方案的核心工程数据：

状态机设计的核心原则：任何断电时刻设备状态均可恢复。IDLE→DOWNLOAD→WRITE阶段断电，旧分区完好无损；SWAP阶段断电，活跃标记未修改，旧分区仍可启动；BOOT_TRY阶段断电，watchdog检测失败后自动回退。100%断电恢复率是A/B方案相比单分区方案的工程优势。