关于STM32MP157F早期启动及TF-A相关FWU问题的咨询

1. 早期启动阶段的默认行为 #

• ST FWU参考方案中，fsbl1与fsbl2默认存储完全相同的TF-A镜像，核心目的是实现ROM启动环节的故障安全冗余。
• ROM的启动逻辑固定从fsbl1分区开始扫描：若fsbl1内的镜像通过ROM内置的校验机制（如哈希校验）验证有效，就直接加载执行；一旦fsbl1加载失败（镜像损坏、校验不通过等），ROM会自动切换到fsbl2分区尝试加载，直到找到首个有效FSBL为止。

2. ROM/TF-A层的回滚行为 #

• ROM本身仅具备启动阶段的FSBL冗余加载能力，未实现FWU回滚机制；ST默认提供的TF-A版本也不包含跨A/B槽位的回滚逻辑。
• fsbl1、fsbl2不属于[fip-a, bootfs-a, rootfs-a]这类A/B分区组，它们只是独立的备用启动槽位——仅用于fsbl1加载失败时，ROM从fsbl2尝试加载同版本TF-A，不存在版本回滚的设计，仅作为启动容错的备份选项。

3. TF-A的空中升级（OTA，结合RAUC） #

• 必须将TF-A镜像包含在RAUC升级包内。
• 为了保留ROM阶段的故障安全特性，升级过程中需要将新的TF-A镜像同时写入fsbl1和fsbl2分区：这样即使其中一个分区写入失败，另一个分区仍有可用的同版本TF-A，ROM启动时能正常加载，避免出现启动砖机的风险。

内容的提问来源于stack exchange，提问作者user3518295