Брак при flash на терен
Екипи, които записват фърмуера след излизането на единицата от PCBA сглобяването, често отчитат брака надолу. Единица, която не приема фърмуера на работното място на интегратора, отива за преработка, връща се или се изхвърля, а разходът отива в различна сметка от тази за PCBA.
Когато бракът се мери от край до край, бракът от flash след производство обикновено е 1 до 4 процента. При партида от 1000 единици това са 10 до 40 единици излишна преработка или загуба. Flash на ниво производство сваля този процент под 0,5 процента на повечето линии, защото отказът се хваща на тестовата станция, а не при интегратора.
Дрифт в конфигурацията
Единици, flash-нати в различни сесии, с различни ревизии на фърмуера, от различни оператори, се разминават по конфигурация. Калибровъчни стойности, мрежови настройки, debug флагове. Дрифтът е невидим при предаването и скъп при интеграцията, когато една единица се държи различно от следващата.
Flash на ниво производство прекарва всяка единица през една и съща flash последователност, със същия хеш на фърмуера, същия provisioning шаблон, същия подписан bootloader. Дрифтът в конфигурацията пада до нула.
Налагане на подписан фърмуер
Добавянето на налагане на подписан bootloader, след като продуктът вече е в производство, е болезнено. Изгарянето на fuse, предаването на ключовете, цикълът на верификация, всички те трябва да се вмъкнат допълнително в процес, който не е бил проектиран за тях.
Проектирането на производствената линия около подписан фърмуер от самото начало прави това тривиално. Bootloader-ът се записва пръв с препратка към подписващия ключ, приложението се записва второ с проверка на хеша, eFuse изгаря трето, за да заключи веригата.
Готовност за CRA
Cyber Resilience Act очаква проследяемост на фърмуера на ниво единица. Единица, доставена днес, може да се нуждае от актуализация по сигурността след три години, а производителят трябва да знае с коя версия на фърмуера е била доставена.
Flash на ниво производство логва хеша на фърмуера срещу серийния номер в база данни. Flash на терен не създава този лог, освен ако интеграторът не изгради отделен такъв, което обикновено не прави.
Кога flash на ниво производство си заслужава
Грубо казано: при всеки продукт, при който ревизиите на фърмуера са достатъчно стабилни, за да се ангажирате с производствена партида, и при който единичната цена на flash на терен или на дрифт в конфигурацията е измерима. При повечето свързани продукти за индустрия, сградна автоматизация, енергетика и контрол на достъпа този праг се преминава рано в NPI.
За продукти, при които фърмуерът се сменя седмично по време на NPI, изчакайте с flash на ниво производство, докато bootloader-ът и подписващите ключове се стабилизират, и едва тогава го интегрирайте в линията.
Източници
- Браншови доклади на IPC за производствено тестване и flash проценти
- Espressif, продуктова документация "Secure Boot v2"
- NXP, продуктови ръководства "Secure boot and trust provisioning"