为什么想要更改DC/DC转换器的固件

服务器中使用的大多数高性能DC/DC转换器都带有内置在固件中的数字监控与控制功能。在本博客文章中，我们讨论了该固件是否能够供用户访问以进行修改，以及可能产生的影响。

在任何产品中，提供固件代码访问权限都是一个敏感话题。以汽车行业为例，最新车型的驾驶员希望定期进行空中升级（OTA）更新来改善功能并修复错误。为了增强安全性，这些更新依赖于可信平台模块（TPM）技术和安全加密处理器，以防止意外更改、篡改或安装恶意代码。

虽然类似这样的系统级更新十分常见，但对于较低级别组件，例如为服务器应用程序中的处理器供电的DC/DC转换器等，用户希望允许更改其固件的兴趣日益浓厚。这些转换器提供必要的电压和电流，但越来越多地附带数字控制和监控功能。这使得制造商能配置一款通用于多个应用的平台产品，或允许用户自定义参数，如电压设定点、故障检测限值、有时甚至是环路频率响应等。这些通常都是通过具有基本安全功能的PMBus接口完成的。但是，DC/DC转换器的核心功能储存在非易失性内存中，用户仍然无法接触到相关固件。

为什么想要更改DC/DC转换器的固件？

随着DC/DC转换器的发展进化，以及产品复杂程度和性能的提升，某些场景下，在部件发货后更新固件可能会更有好处：

· 一些客户可能需要使用某些功能，这些功能超出了PMBus指令涵盖的范围。例如，自定义“事件记录数据”或添加唯一部件标识符。

· 基本功能改动。这种情况可能发生在定制DC/DC转换器设计中。部件会提前发货，以支持规格仍然不断变更的原型系统。

· 制造商安装更新以增强功能。例如，想要改进实现电流均流的算法，可能需要更新固件。

· 固件验证。重装默认固件能够帮助验证系统完整性。

· 已宣布的新bug修复，解决组件部署后发现的问题。

允许固件访问面临的挑战

目前，DC/DC转换器通常不允许用户访问固件，以确保安全性，保护设备免受无效和潜在有害更改的影响，并保护制造商的知识产权。理论来说，可以使用现有的PMBus接口在适当的安全级别下进行固件更改。目前拟议的PMBus 1.5规范解决了这个问题，该版本定义了强化的安全措施和基于加密的身份验证，以针对特定设备并限制命令写入功能。

实际上，可以将作为零部件储存的DC/DC转换器设计为允许通过PMBus接口进行固件更新，借助定制夹具和装有制造商提供的软件应用程序的PC来完成。这类似于使用诸如Flex Power Designer的GUI（图形用户界面）工具来完成配置。更新固件时，需要通过夹具将电压施加到DC/DC输入端来给内部处理器和内存供电。

为已安装的DC/DC转换器更新固件则存在重大潜在挑战。处理更新的任何外部处理器通常都由DC/DC转换器的输出本身供电，因此在上传过程中，供电不能中断。但是，当只有一个内存空间时，转换器在更新期间无法正常运行，因为上传时内存会首先被擦除。这样，就没有代码来控制DC/DC转换过程，也不会再产生输出功率。解决此问题的一个可能的方案是将DC/DC转换器的新固件代码加载到辅助内存区域，然后在验证后将该区域设为主内存区域。这不仅可以在上传过程中正常产生输出电压，而且如果上传失败，还能够恢复到已知的好代码。

理论上，内存可以被分成不同大小的分区，其中一个分区在较小的内存空间中仅提供基本的“恢复”功能。然而，在实践中，转换器可能以并联或类似模式捆绑在一起，需要启用所有代码才能使各部件正确且安全地启动。因此，很可能每个DC/DC转换器都需要两个全尺寸的内存空间，随之而来的是额外成本与尺寸需求。另一种可能性是对内存空间进行物理分区，这样上传期间不会擦除基本的功率转换功能，但同时要接受其无法更新的限制。同样，实现这一点将会是一项巨大的硬件开销。

在DC/DC转换器的使用寿命内可能会发生多次上传，所以一大实际的问题在于额外的内存需要是“闪存”型，这比流行的“一次性可编程”内存更昂贵。通过更新固件提升的功能性，代价是牺牲设备尺寸、复杂性和制造成本。

结语

对DC/DC转换器等组件中的固件启用远程访问具有许多潜在优势，例如允许更新固件来保持系统高效运行。但是，还必须仔细考虑实行的成本和相关安全风险。此外，还需要考虑新的立法，例如欧盟的《网络弹性法案（CRA）》，该法案要求带有“数字组件”的终端设备的制造商允许软件更新以解决已发现的任何安全漏洞……

随着允许远程访问组件固件这一概念的不断发展，终端设备和DC/DC转换器制造商需要密切沟通，以确保实现功能改进与安全性，同时又避免不可持续的额外成本和组件尺寸。