Improving Cloud System Up-Time with Run-time Firmware Update and Activation

云系统高可用性提升：运行时固件更新与激活

云服务的高可用性需求

• 云环境要求极高的服务可用性，但传统固件更新流程（停止所有虚拟机和服务、重启系统）会影响服务连续性。
• 现代OCP系统包含多种硬件组件的固件，包括系统固件（BIOS、BMC等）和设备固件（微码、网络、TPM、存储、SCM、自定义FPGA、PSU等）。
• 固件更新原因包括安全、功耗、性能、调试、错误修复、设备新鲜度维护等。

云固件更新的关键要求

• 供应链完整性
• 大规模部署的便捷性
• 无影响更新
• 自动恢复/回滚
• 审计追踪
• 根信任
• 低启动时间
• 配置/策略管理

运行时固件更新机制

• 两步流程：将新固件镜像写入备用存储，然后激活（切换为主动存储）。
• 更新可在运行时写入备用存储，但激活需要系统重启。
• 现有设计避免覆盖正在使用的固件副本，以保障高可用性和安全性。

运行时固件激活的不足

• 当前固件以单体包形式交付。
• 缺乏平台和操作系统原语支持运行时激活。
• OCP系统固件项目和OCP安全项目旨在解决这些问题。

模块化固件设计考量

• 模块化作为灵活更新的手段。
• 模块认证和审计/版本控制。
• 理想情况下，模块应支持独立更新和激活。
• 独立更新不等于独立激活，需设计激活层级。

运行时固件激活流程

• 操作系统支持运行时更新：
  • Unix/Linux：kexec
  • Windows：内存保留维护
• 激活机制：
  • 暂停/保留虚拟机
  • 调用修改后的重启流程
  • 激活新固件模块
  • 加载操作系统（内存内容保持有效）
  • 恢复服务
  • 更新固件模块
  • 启动热重启
  • 恢复服务（短暂中断）

运行时固件激活安全

• 需要运行时认证作为安全项目的一部分。
• Cerberus提供根信任和认证。
• 新固件添加到平台固件清单（PFM），并报告为平台活跃根信任（PA-ROT）。

总结与行动呼吁

• OCP开放系统固件项目旨在解决OCP固件需求规格。
• OCP系统固件和安全项目合作实现运行时认证。
• OCP系统广泛应用于需要高服务可用性的云环境。
• 通过伙伴关系推动操作系统变更。
• 相关项目：Open Compute Project（开放计算项目）、UEFI（统一可扩展固件接口）、OpenBMC（开放BMC组织）、DMTF（桌面管理论坛）。