Selejt a helyszíni firmware-feltöltésnél
Azok a csapatok, amelyek a firmware-t a PCBA-gyártásból való kiszállítás után töltik fel, hajlamosak alábecsülni a selejtet. Az az egység, amelyik az integrátor padján nem veszi át a firmware-t, javításra megy, visszakerül vagy kidobásra kerül, a költség pedig más főkönyvi sorra esik, mint a PCBA-költség.
Végponttól végpontig mérve a gyártás utáni firmware-feltöltés selejtje jellemzően 1-4 százalék között mozog. Egy 1000 darabos tételen ez 10-40 elkerülhető újramunka- vagy veszteségeset. Ha a feltöltés a gyártósoron történik, ez az arány a legtöbb soron 0,5 százalék alá esik, mert a hibát a tesztállomáson kapják el, nem az integrátornál.
Konfigurációs sodródás
Azok az egységek, amelyek különböző munkamenetekben, eltérő firmware-revíziókkal és különböző kezelőkkel készülnek el, idővel elsodródnak egymástól konfigurációban. Kalibrációs értékek, hálózati beállítások, debug flagek. A sodródás az átadáskor láthatatlan, az integráció során viszont drága, amint az egyik darab másképp viselkedik, mint a következő.
A gyártás oldali feltöltés minden darabot ugyanazon a feltöltési sorrenden, ugyanazzal a firmware-hash-sel, ugyanazzal a provisioning-sablonnal és ugyanazzal az aláírt bootloaderrel visz keresztül. A konfigurációs sodródás nullára esik.
Az aláírt firmware kikényszerítése
Aláírt bootloader előírását egy már gyártásban lévő termékhez utólag hozzátoldani fárasztó. A fuse-égetés, a kulcsátadás, a verifikációs ciklus mind utólag illesztendő egy olyan folyamatba, amit nem ezekre terveztek.
Ha a gyártósor kezdettől fogva az aláírt firmware-re épül, ez triviális. A bootloader íródik először az aláírókulcsra való hivatkozással, az alkalmazás másodszor hash-ellenőrzéssel, az eFuse pedig harmadszor égeti le a láncot.
CRA-felkészültség
A Cyber Resilience Act darabonkénti firmware-nyomonkövethetőséget vár el. Egy ma kiszállított egységnek három év múlva is szüksége lehet biztonsági frissítésre, és a gyártónak tudnia kell, milyen firmware-verzióval ment ki.
A gyártás oldali feltöltés a firmware-hash-t a sorszámmal együtt egy adatbázisba naplózza. A helyszíni feltöltés nem hozza létre ezt a naplót, hacsak az integrátor külön nem vezet egyet, amit jellemzően nem tesz meg.
Mikor térül meg a gyártás oldali firmware-feltöltés
Nagyjából: minden olyan terméknél, ahol a firmware-revíziók elég stabilak ahhoz, hogy egy gyártási tételhez hozzá lehessen kötni őket, és ahol a helyszíni feltöltés vagy a konfigurációs sodródás darabonkénti költsége mérhető. A hálózatba kötött ipari, épületautomatizálási, energetikai és beléptetési termékek többségénél ez a küszöb az NPI korai szakaszában átlépésre kerül.
Olyan termékeknél, ahol a firmware az NPI alatt hetente változik, várja meg a gyártás oldali feltöltéssel, amíg a bootloader és az aláírókulcsok stabilizálódnak, és csak akkor vigye soron belülre.
Források
- IPC iparági jelentések a gyártási tesztelési és firmware-feltöltési arányokról
- Espressif, "Secure Boot v2" gyártási dokumentáció
- NXP, "Secure boot and trust provisioning" gyártási útmutatók