如何在AM64x平台通过U-Boot引导签名的非Linux固件镜像？

核心原因 #

U-Boot的bootm命令是为传统Linux启动流程设计的，默认会在FIT镜像的configuration节点中查找kernel属性对应的镜像条目。你当前的FIT配置中，configuration节点只指定了firmware字段，且镜像类型设为firmware，导致bootm无法识别到所需的kernel条目，从而报错。

解决方案1：修改FIT镜像配置适配bootm #

调整FITS的镜像类型和configuration字段，让bootm能识别你的固件：

/dts-v1/;

/ {
    description = "Simple FIT image with threatx OS firmware";
    #address-cells = <1>;

    images {
        kernel@1 {
            description = "threatx OS Firmware";
            data = /incbin/("./threatx_firmware.elf");
            type = "kernel";          // 改为bootm识别的kernel类型
            arch = "arm64";
            os = "standalone";        // 自定义OS使用standalone类型更合适
            compression = "none";
            load = <0x90000000>;      // 保持原ELF的加载地址
            entry = <0x90000000>;     // 保持原ELF的入口地址
            hash {
                algo = "sha256";
            };
        };
    };

    configurations {
        default = "conf@1";
        conf@1 {
            description = "Boot threatx OS firmware";
            kernel = "kernel@1";      // 配置bootm要加载的kernel条目
        };
    };
};

修改后重新用mkimage -f fit.dts fit.itb生成FIT镜像，再用bootm引导即可。

解决方案2：正确转换ELF为扁平二进制文件 #

如果要使用二进制文件而非ELF，确保用正确的objcopy命令转换：

aarch64-linux-gnu-objcopy -O binary threatx_firmware.elf threatx_firmware.bin

转换后在FIT镜像中替换data = /incbin/("./threatx_firmware.bin");，同时保持type = "kernel"、load和entry地址与原ELF一致（可通过readelf -h threatx_firmware.elf查看入口地址）。

关键配置确认 #

确保你的U-Boot已开启以下配置（TI SDK 10的U-Boot通常默认开启，但建议验证）：

• CONFIG_FIT=y：启用FIT镜像支持
• CONFIG_FIT_SIGNATURE=y：启用FIT镜像签名验证
• CONFIG_CMD_BOOTM=y：启用bootm命令

关于方向的确认 #

你的方向没有错误：U-Boot的bootelf命令确实不支持固件签名验证，只有bootm配合FIT镜像才能实现签名校验功能。只要调整FIT配置适配bootm的要求，就能实现带签名验证的固件引导。

内容的提问来源于stack exchange，提问作者TabascoEye