# QFuse 熔丝方案需求文档

## 需求概述

基于高通平台开展 OEM 安全启动熔丝烧录方案设计与落地，完成 QFPROM QFuse 规划、sec.elf 镜像生成、产线烧录流程、安全策略定义，支撑设备生物识别（指纹、面容）、安卓 Keystore、RPMB 安全存储功能正常启用，同时满足安全启动验签、防回滚、调试端口管控等安全能力要求。

## 详细需求

1. 密钥体系：搭建 OEM 根密钥（QPSA Root CA）+ Attest CA 密钥体系，根密钥采用 ECDSA secp384r1 算法，密钥由 HSM 硬件加密机托管，私钥禁止明文导出、禁止流入芯片，仅将根公钥 SHA384 哈希写入 QFuse；支持本地调试签名模式与 CASS/WES 量产签名两套模式。
2. 熔丝配置规划：基于对应芯片安全 profile xml，规划 QFuse 熔丝项，包含 OEM Secure Boot 使能位、OEM ID、Product ID、防回滚版本熔丝、SKDK 权限熔丝、JTAG/DAP 调试端口禁用熔丝、RPMB 相关权限熔丝；熔丝配置需保证熔断后 SKDK 密钥派生通路正常释放，QTEE 内指纹、面容 Biometric TA 可正常完成模板加密存储与比对。
3. 镜像生成能力：使用高通 SecTools v2 fuse-blower 工具，根据熔丝配置生成并签名 sec.elf 熔丝镜像；sec.elf 镜像支持 EDL 9008 通道通过授权版 QPST/QFIL VIP 模式烧录；提供熔丝镜像合法性自检机制，校验熔丝地址、哈希值、签名信息，防止错误熔丝配置导致芯片永久变砖。
4. 产线烧录流程：定义标准化产线烧录流程，包含单板进入 EDL、sec.elf 刷入、熔丝熔断、熔断后状态读取校验、PBL 启动校验、生物识别预验证；支持单台调试烧录与自动化产线批量烧录；熔断后读取 QFuse 状态作为烧录 OK 判定依据。
5. 调试与异常处理：支持开发阶段高通 TEST 根熔丝方案，用于前期指纹、面容功能调试，明确 TEST 熔丝限制（不可商用、无法过 GMS 安全认证）；输出熔丝失败、PBL 验签失败、SKDK 派生失败、Biometric TA 报错的定位方法，配套 QXDM 日志过滤规则用于问题排查。
6. 安全约束：熔丝为一次性不可逆 OTP，方案必须增加二次确认机制；熔断完成后，设备强制开启 OEM 安全启动，所有 SBL、TZ、ABL、RPM、固件镜像必须使用 OEM 根密钥签名才可启动；熔断后关闭 JTAG 调试通道，仅可通过签名后的 debug policy 镜像临时开启调试权限。
7. 交付物要求：输出熔丝位清单、security_profile 配置文件、SecTools 签名 & 熔丝生成脚本、产线烧录操作手册、熔丝校验用例、风险清单（熔丝烧错、密钥泄露、镜像签名失败等风险的规避方案）。

## 验收标准

1. 成功烧录 OEM 正式熔丝后，PBL 可正常校验 OEM 签名固件，设备正常启动；
2. SKDK 通路正常放行，安卓系统指纹、面容录入、识别功能可正常工作，Keystore 安全密钥、RPMB 存储加密功能生效；
3. 低于熔丝内版本号的固件包拒绝启动，未签名固件无法启动；
4. 熔丝状态可读取核对，所有烧录步骤可复现，配套文档齐全；
5. TEST 熔丝模式可独立启用，满足前期生物识别调试需求。