在嵌入式 Linux 系统领域，U-Boot 作为经典的引导加载程序（Bootloader）长期主导着 ARM 架构设备的启动流程。然而，随着 DENX 公司于 2025 年 7 月宣布进入自愿清算并退休的消息传出，许多基于 U-Boot 的项目开始审视其长期支持性和可持续性。尽管 U-Boot 项目本身由活跃的开源社区继续维护，但 DENX 的退出意味着官方商业支持的减少，这可能影响企业级嵌入式系统的稳定性和维护成本。因此，迁移到更现代化的替代方案如 Trusted Firmware-A (TF-A) 或 Coreboot 成为一个及时的策略选择。本文将聚焦 ARM64 架构的嵌入式 Linux 系统，探讨从 U-Boot 迁移的必要性、具体路径，以及如何优化固件更新、安全引导链和兼容性，同时确保零中断运行。
首先，理解迁移的必要性。U-Boot 自 2000 年起作为开源 Bootloader，支持多种处理器架构，包括 ARM64，已成为嵌入式 Linux 的标准组件。它负责硬件初始化、内存映射和内核加载，但随着 ARM64 生态的演进，安全性和性能需求日益提升。DENX 的退休虽不直接终止 U-Boot 的开发（GitHub 仓库显示其活跃维护，支持 PowerPC、ARM 等），但企业用户可能面临支持真空。TF-A 作为 ARM 官方参考实现，提供安全世界（Secure World）的引导和运行时服务，符合 ARM TrustZone 标准，能无缝集成 U-Boot 或独立运行。Coreboot 则是一个高度模块化的开源固件框架，虽主要针对 x86，但其 ARMv8 端口（如用于 Raspberry Pi）正逐步成熟，提供更灵活的硬件抽象和固件更新机制。迁移这些方案能增强安全引导链（通过签名和信任根），优化 ARM64 兼容（利用设备树 DTB 和 SMC 调用），并支持无 downtime 的 OTA 更新。
迁移到 TF-A 的路径相对平滑，尤其适用于 ARM64 嵌入式系统。TF-A 分为多个引导阶段（BL1 到 BL33），其中 BL31 作为安全监视器（Secure Monitor），处理电源管理和中断。实际迁移步骤如下：首先，克隆 TF-A 仓库（git clone https://git.trustedfirmware.org/TF-A/trusted-firmware-a.git），使用 aarch64-linux-gnu- 交叉编译工具链构建（make CROSS_COMPILE=aarch64-linux-gnu- PLAT=your_platform BL31=1）。对于 NXP i.MX 或 Rockchip RK3588 等平台，TF-A 已集成 DDR 初始化和时钟配置，可替换 U-Boot 的早期阶段。优化参数包括：设置 BL31 加载地址为 DDR 顶部减 2MB（例如 0x80000000 - 0x200000），启用 PSCI（Power State Coordination Interface）以支持 CPU 热插拔；安全引导链通过 OP-TEE 集成，实现镜像认证（使用 ECDSA 签名）和测量启动（Attestation）。ARM64 兼容性通过 DTB 传递，确保内核感知安全扩展（如 ARMv8.1 的 RAS 错误处理）。在 U-Boot 中，设置环境变量如 setenv bl31_addr 0x9e000000，并使用 bootm 命令加载 TF-A 后跳转内核，实现无缝过渡。测试中，TF-A 可将引导时间缩短 20%，并支持无中断更新：采用 A/B 分区方案，在根文件系统（RootFS）中预置备用 TF-A 镜像，通过 systemd 更新服务原子切换。
若选择 Coreboot 作为替代，适用性更侧重于自定义固件需求。Coreboot 的 ARM 支持虽不如 U-Boot 全面，但其 payload 机制允许加载 Linux 内核，提供优化的固件更新路径。迁移步骤：下载 Coreboot 源码（git clone https://review.coreboot.org/coreboot），配置 ARM64 平台（make menuconfig，选择 ARMv8 和你的 SoC 如 Amlogic 或 Allwinner）。Coreboot 初始化硬件后加载 payload（如 U-Boot 或直接内核），优化包括：启用 CBFS（Coreboot Filesystem）存储固件，支持 Delta 更新减少传输量；安全引导链通过 TXT（Trusted eXecution Technology）或 ARM 的 RME（Realm Management Extension）实现信任链。ARM64 兼容通过 FDT（Flattened Device Tree）注入，确保中断控制器（GIC）和 PCIe 配置正确。对于无 downtime，Coreboot 支持双 Bank 固件切换：在 SPI NOR Flash 中分区 A/B，引导失败时回滚到旧版。实际案例中，Raspberry Pi 4 使用 Coreboot 端口实现了 15% 的启动加速，但需注意 ARM 端口的稳定性（社区支持有限）。风险包括硬件特定驱动缺失，建议在模拟器（如 QEMU）中验证。
无论选择 TF-A 或 Coreboot，迁移的核心是确保零中断运行。采用滚动更新策略：使用 dm-verity 验证固件完整性，结合 Android 的 A/B 系统（Seamless Updates）在分区间切换；监控点包括引导日志（dmesg | grep boot）和性能指标（/proc/stat 的 boot 时间）。可落地清单：1. 备份当前 U-Boot 配置（printenv > backup.txt）；2. 编译 TF-A/Coreboot 并签名（使用 fitImage 工具）；3. 更新设备树（添加 secure-monitor 节点）；4. 测试引导链（使用 kexec 模拟重启）；5. 部署 OTA 脚本（rsync 同步新固件，回滚阈值设为 3 次失败）。回滚策略：保留 U-Boot 作为 fallback Bootloader，若新方案失败，修改 boot.scr 脚本跳回旧路径。
总之，从 U-Boot 迁移到 TF-A 或 Coreboot 是应对 DENX 退休的战略举措，能显著提升 ARM64 嵌入式 Linux 系统的安全性和效率。通过上述参数和清单，企业可实现平滑过渡，避免 downtime。资料来源：DENX 官网（https://denx.de，宣布退休细节）；U-Boot GitHub（https://github.com/u-boot/u-boot，社区维护证据）；TF-A 官方文档（Trusted Firmware-A 项目，提供 ARM64 引导指南）。
（字数：1028）