关于固件

head -n7 /proc/cpuinfo

Intel 的 CPU 微码

第一步是获取最新版本的 Intel 微码。这必须通过导航到 https://github.com/intel/Intel-Linux-Processor-Microcode-Data-Files/releases/ 并下载其中的最新文件来完成。在撰写本文时，最安全的微码版本是 microcode-20260227。以正常方式解压此文件，微码位于 intel-ucode 目录中，包含各种形式为 XX-YY-ZZ 的 blob。还有其他各种文件和一个发行说明。

过去，Intel 没有提供哪些 blob 更改了版本的详细信息，但现在发行说明详细说明了这一点。您可以将 /proc/cpuinfo 中的微码版本与发行说明中您的 CPU 型号的版本进行比较，以了解是否有更新。

为较旧处理器提供的最新固件用于处理现已公开的漏洞，对于其中一些漏洞，例如微架构数据采样（MDS），您可能希望通过禁用超线程来增强保护，或者由于其对编译时间的影响而禁用内核的默认缓解措施。请阅读 https://www.kernel.org/doc/html/latest/admin-guide/hw-vuln/index.html 上的在线文档。

对于 Meteor Lake 移动版（描述为 Intel(R) Core(TM) Ultra 5 125H CPU），相关值为 cpu family 6、model 140、stepping 4，因此在这种情况下所需的标识为 06-aa-04。发行说明称其最新微码版本为 0x25。如果 /proc/cpuinfo 中 “microcode” 字段的值为 0x25 或更大，则表示 BIOS 已应用微码更新。否则，请继续执行 “微码的早期加载”一节。

AMD 的 CPU 微码

首先从 https://anduin.linuxfromscratch.org/BLFS/linux-firmware/amd-ucode/ 下载适用于您 CPU 系列的固件容器。系列始终以十六进制指定。10h 至 14h（16 至 20）系列位于 microcode_amd.bin 中。15h、16h、17h（Zen、Zen+、Zen2）和 19h（Zen3）系列有自己的容器，但很少有机器能获得更新的微码。相反，AMD 向主板制造商提供更新的 AGESA，制造商可能会据此提供更新的 BIOS。在 https://github.com/AMDESE/amd_ucode_info/blob/master/amd_ucode_info.py 有一个 Python3 脚本。下载该脚本并针对 bin 文件运行，以检查哪些处理器有更新。

对于这些示例中非常老的 Athlon(tm) II X2，其值为 cpu family 16、model 5、stepping 3，标识为 Family=0x10 Model=0x05 Stepping=0x03。amd_ucode_info.py 脚本输出的一行描述了其微码版本：

Family=0x10 Model=0x05 Stepping=0x03: Patch=0x010000c8 Length=960 bytes

如果 /proc/cpuinfo 中 “microcode” 字段的值为 0x10000c8 或更大，则表示 BIOS 已应用微码更新。否则，请继续执行 “微码的早期加载”一节。

微码的早期加载

如果您已确定您的系统有可用的更新微码，那么是时候准备进行早期加载了。这需要额外的包 cpio-2.15（或 libarchive-3.8.8）并创建 initrd，然后需要将其添加到 grub.cfg 中。

在何处准备 initrd 无关紧要，一旦它正常工作，您可以将相同的 initrd 应用于此机器上的后续 LFS 系统或更新内核，至少在发布任何更新的微码之前。使用以下命令：

mkdir -p initrd/kernel/x86/microcode
cd initrd

对于 AMD 机器，使用以下命令（将 <MYCONTAINER> 替换为您的 CPU 系列容器的名称）：

cp -v ../<MYCONTAINER> kernel/x86/microcode/AuthenticAMD.bin

或者对于 Intel 机器，使用以下命令复制适当的 blob：

cp -v ../intel-ucode/<XX-YY-ZZ> kernel/x86/microcode/GenuineIntel.bin

现在准备 initrd（您也可以使用 libarchive-3.8.8 中的 bsdcpio 代替 cpio）：

find * | cpio -o -H newc > /boot/microcode.img

现在您需要在 /boot/grub/grub.cfg 中添加一个新条目，并且应该在节内的 linux 行之后添加一行新行。如果 /boot 是一个单独挂载点：

initrd /microcode.img

如果不是，则：

initrd /boot/microcode.img

如果您已经使用 initrd 启动（参见 “关于 initramfs”一节），则应将适当的 blob 或容器放入 /usr/lib/firmware 后，再次运行 mkinitramfs。更准确地说，在运行 mkinitramfs 之前，将 Intel blob 放入 /usr/lib/firmware/intel-ucode 目录，或将 AMD 容器放入 /usr/lib/firmware/amd-ucode 目录。或者，您可以将两个 initrd 放在同一行，如 initrd /microcode.img /other-initrd.img（如果 /boot 不是单独挂载点，请按上述方式调整）。

现在您可以使用添加的 initrd 重新启动，然后使用以下命令检查早期加载是否成功：

dmesg | grep -e 'microcode' -e 'Linux version' -e 'Command line'

如果您更新以解决漏洞，可以查看 lscpu 命令的输出，以了解现在报告的内容。

在 AMD 和 Intel 机器上，早期加载发生的位置和时间有很大不同。首先，一个 Intel（Meteor Lake 移动版）早期加载的示例：

[    0.000000] Linux version 6.17.6 (xry111@stargazer) (gcc (GCC) 15.2.0, GNU ld (GNU Binutils) 2.45) #1 SMP PREEMPT_DYNAMIC Sun Nov  9 21:03:48 CST 2025
[    0.000000] Command line: BOOT_IMAGE=/boot/vmlinuz-6.17.6 root=/dev/nvme0n1p6 ro
[    1.459687] microcode: Current revision: 0x00000025
[    1.459699] microcode: Updated early from: 0x00000024

一个历史悠久的 AMD 示例：

[    0.000000] Linux version 4.15.3 (ken@testserver) (gcc version 7.3.0 (GCC))
               #2 SMP Sun Feb 18 02:32:03 GMT 2018
[    0.000000] Command line: BOOT_IMAGE=/vmlinuz-4.15.3-sda5 root=/dev/sda5 ro
[    0.307619] microcode: microcode updated early to new patch_level=0x010000c8
[    0.307678] microcode: CPU0: patch_level=0x010000c8
[    0.307723] microcode: CPU1: patch_level=0x010000c8
[    0.307795] microcode: Microcode Update Driver: v2.2.

ATI Radeon 视频芯片的固件

早期的 radeon 设备仅需要一个 2 KB 的固件 blob。较新的设备需要几个不同的 blob，其中一些更大。radeon 固件目录的总大小超过 500 KB——在大型现代系统上，您可能可以腾出空间，但每次构建系统时安装所有未使用的文件仍然是一种冗余。

更好的方法是安装 pciutils-3.15.0，然后使用 lspci 识别安装的 VGA 控制器。

有了这些信息，请查看 Xorg 维基的 RadeonFeature 页面，了解 Decoder ring for engineering vs marketing names 以识别系列（您可能需要了解此信息以用于 BLFS 中的 Xorg 驱动程序——Southern Islands 和 Sea Islands 使用 radeonsi 驱动程序）和具体型号。

既然您知道使用的控制器，请查阅 Gentoo 维基的 Radeon 页面，其中有一个表格列出了各种芯片组所需的固件 blob。请注意，Southern Islands 和 Sea Islands 芯片在 3.17 及更新内核上使用的固件与旧内核不同。识别并下载所需的 blob，然后安装它们：

mkdir -pv /usr/lib/firmware/radeon
cp -v <YOUR_BLOBS> /usr/lib/firmware/radeon

建议将内核 amdgpu 驱动程序构建为模块，因为固件文件在加载时需要可访问。如果出于任何原因将其构建为内核映像的一部分，您需要将固件文件包含在 initramfs 中（详细信息请阅读 “关于 initramfs”一节），或将它们包含在内核映像本身中（详细信息请阅读 “在内核映像中包含固件 Blob”一节）。

AMD/ATI amdgpu 视频芯片的固件

所有使用 amdgpu 内核驱动程序的视频控制器都需要固件，无论您将使用 xorg amdgpu 驱动程序、xserver 的 modesetting 驱动程序，还是仅使用内核模式设置来获得大于 80x25 的控制台帧缓冲。

安装 pciutils-3.15.0 并使用它检查型号名称（查找“VGA compatible controller:”）。如果您有 APU（加速处理单元，即 CPU 和视频在同一芯片上），那可能会告诉您名称。如果您有单独的 amdgpu 视频卡，则需要搜索以确定它使用的名称（例如，描述为 Advanced Micro Devices, Inc. [AMD/ATI] Baffin [Radeon RX 550 640SP / RX 560/560X] 的卡需要 Polaris11 固件）。在 Gentoo 维基的 AMDGPU 页面末尾的内核部分有一个“Family, Chipset name, Product name and Firmware”表。

一旦确定了固件名称，请安装其所有相关文件。例如，上面提到的 Baffin 卡有 21 个不同的 polaris11* 文件，诸如 renoir 和 picasso 之类的 APU 至少有 12 个文件，并且在未来的更新中可能会增加更多（例如，raven APU 现在有第 13 个文件 raven_ta.bin）。

mkdir -pv /usr/lib/firmware/amdgpu
cp -v <YOUR_BLOBS> /usr/lib/firmware/amdgpu

如果磁盘空间不是问题，您可以安装所有当前的 amdgpu 固件文件，而不必担心具体安装的是哪个芯片组。

建议将内核 amdgpu 驱动程序构建为模块，因为固件文件在加载时需要可访问。如果出于任何原因将其构建为内核映像的一部分，您需要将固件文件包含在 initramfs 中（详细信息请阅读 “关于 initramfs”一节），或将它们包含在内核映像本身中（详细信息请阅读 “在内核映像中包含固件 Blob”一节）。

NVIDIA 视频芯片的固件

从 Kepler 开始的一些 NVIDIA GPU（包括所有 NVIDIA GeForce RTX GPU 和 GTX 9xx 系列及更新）需要 NVIDIA 签名的固件才能工作。对于 Nouveau 驱动程序，NVIDIA 已在 linux-firmware 的 nvidia/ 目录中发布了签名的固件文件。阅读 Nouveau 维基的 CodeNames 页面 以找出您的 NVIDIA GPU 的代号（例如，GeForce RTX 5080 的代号为 GB203）。您需要的固件文件目录名称是将代号转换为小写的结果（例如 gb203）。该目录（或其某些内容）可能实际上是指向另一个目录（或另一个目录中的某些文件）的符号链接，然后您需要自己 创建符号链接并下载其目标（例如，gb207 是指向 gb202 的符号链接）。

如果您在 linux-firmware 树或 WHENCE 文件（作为符号链接）中都找不到 GPU 的目录，则意味着您的 GPU 不需要任何固件，或者它比 Blackwell（RTX 50xx 系列）更新，并且其固件尚未发布（截至 2025 年中）。

对于从 Tesla 到 Kepler 的 NVIDIA GPU，Nouveau 驱动程序需要一些额外的固件来支持视频解码加速。这些固件文件未由 NVIDIA 发布，但可以从 NVIDIA 二进制驱动程序中提取。关于哪些芯片需要提取的固件，更准确的信息请参见 Nouveau 维基的 VideoAcceleration。要提取并安装这些固件文件，请执行：

wget https://anduin.linuxfromscratch.org/BLFS/nvidia-firmware/extract_firmware.py
wget https://us.download.nvidia.com/XFree86/Linux-x86/340.32/NVIDIA-Linux-x86-340.32.run
sh NVIDIA-Linux-x86-340.32.run --extract-only
python3 extract_firmware.py
mkdir -p /usr/lib/firmware/nouveau
cp -d nv* vuc-* /usr/lib/firmware/nouveau/