Mises à jour OTA pour passerelles industrielles : bonnes pratiques

Une passerelle que vous ne pouvez pas mettre à jour à distance est une passerelle vers laquelle vous finirez par rouler. Pour une flotte répartie sur plusieurs régions, ce n'est pas un plan de maintenance, c'est un passif permanent : une faille de sécurité que vous ne pouvez pas fermer, un bug que vous ne pouvez pas corriger, une fonction réclamée par un client qui exige un camion et un technicien pour être livrée. Les mises à jour à distance sont ce qui rend un déploiement de terrain maintenable, tout simplement.

La difficulté, c'est qu'une mise à jour OTA est une opération à cœur ouvert sur un appareil à côté duquel personne ne se tient. Elle doit s'appliquer, se vérifier et survivre à son propre échec, tout cela pendant que la machine continue de tourner. Réussissez le mécanisme, et la flotte reste à jour en silence. Ratez-le, et un seul mauvais envoi peut rendre mille appareils inutilisables d'un coup.

Toute mise à jour est aussi une surface d'attaque. Si une passerelle installe un firmware qui arrive par le réseau, la sécurité de tout l'appareil repose sur sa capacité à distinguer une image authentique d'une image falsifiée. Les images sont donc signées cryptographiquement, la passerelle vérifie la signature contre une clé qu'elle détient avant d'écrire quoi que ce soit, et le transport passe par TLS pour que rien ne soit altéré en chemin.

Le secure boot prolonge cette chaîne jusqu'au démarrage : le bootloader vérifie la signature de ce qu'il s'apprête à exécuter, de sorte qu'une image altérée ne s'exécute pas, même si elle atteint le stockage. La clé de signature privée vit dans une chaîne contrôlée, pas sur le portable d'un ingénieur, car dès que cette clé fuit, toute passerelle qui lui fait confiance est exposée.

Les mises à jour échouent. Le courant saute en pleine écriture, le réseau meurt, la nouvelle image démarre en boucle. L'architecture qui sécurise cela est le stockage en double banque (A/B) : la passerelle conserve deux emplacements firmware, s'exécute depuis l'un et écrit la mise à jour dans l'autre. La bascule entre les deux est une opération atomique unique, si bien que l'appareil n'exécute jamais une image écrite à moitié.

Après la bascule, un contrôle de santé doit réussir dans une fenêtre définie. Si le nouveau firmware ne démarre pas et ne se signale pas, la passerelle revient d'elle-même à l'emplacement connu comme bon, sans aucun technicien. C'est toute la différence entre une mauvaise version qui vous coûte un après-midi et une qui vous coûte la flotte.

Ne livrez jamais à tout le parc d'un coup. Un déploiement progressif pousse d'abord la mise à jour vers un petit groupe canari, une poignée de passerelles que vous surveillez de près, puis s'étend par vagues uniquement si les canaris restent sains. Une régression qui aurait frappé toute la flotte ne touche que dix appareils que vous pouvez récupérer.

Cela ne marche que si vous voyez ce qui se passe. Chaque passerelle renvoie sa version de firmware, son état de mise à jour et sa santé vers une vue centrale, de sorte qu'un déploiement est quelque chose que vous surveillez et pouvez arrêter, pas quelque chose que vous lancez en espérant.

Le firmware par cellulaire coûte de l'argent et du temps, et une flotte qui télécharge une image complète sur un lien facturé au volume est une facture que personne n'a budgétée. Les mises à jour delta n'envoient que la différence entre la version installée et la nouvelle, ce qui, sur un correctif typique, ne représente qu'une fraction de la taille totale. La passerelle reconstruit l'image complète localement et vérifie le résultat avant de l'adopter.

Le moment compte aussi. Planifiez les grosses mises à jour pour les fenêtres où les actifs sont à l'arrêt ou en Wi-Fi au dépôt, et laissez la passerelle reprendre un téléchargement interrompu plutôt que de tout recommencer, car les connexions de terrain tiennent rarement assez longtemps pour transférer une image complète en une seule passe.

Les briques forment une liste courte et non négociable. Images signées et démarrage vérifié. Stockage en double banque avec rollback automatique. Bascule atomique, pour qu'une mise à jour soit tout ou rien. Déploiements progressifs avec un vrai monitoring. Transfert delta pour ménager le lien. Et un relevé clair de la version présente sur chaque appareil, car vous ne pouvez pas gérer une flotte dont vous ne voyez pas l'état.

Posséder la pile edge est ce qui vous permet de tenir tout ce mécanisme à votre propre standard, au lieu d'hériter de ce qu'un fournisseur a livré. À lire aussi : développement de logiciels pour passerelles industrielles et routeurs et passerelles ouverts.