嵌入式系統(tǒng)自更新機(jī)制的設(shè)計(jì)與應(yīng)用

2．3 更新后的啟動(dòng)流程
通過以上更新流程，系統(tǒng)完成了一次軟件版本的升級(jí)。重新部署Flash后，客戶端具有相對(duì)獨(dú)立的bootloader，并固化在Flash的低地址處，能夠保證系統(tǒng)啟動(dòng)后總是先進(jìn)入bootloader。bootloader通過讀取對(duì)比標(biāo)識(shí)存儲(chǔ)區(qū)的啟動(dòng)地址參數(shù)來跳轉(zhuǎn)執(zhí)行代碼。在正常情況下，啟動(dòng)地址總是指向RTOS。當(dāng)更新完成重新啟動(dòng)客戶端后，bootloader便會(huì)引導(dǎo)新的鏡像文件。
為了確保軟件更新后系統(tǒng)啟動(dòng)的穩(wěn)定性，通過設(shè)計(jì)異常處理程序來加載代碼備份存儲(chǔ)區(qū)的文件防止系統(tǒng)癱瘓。當(dāng)bootloader引導(dǎo)更新后的鏡像文件失敗后，系統(tǒng)進(jìn)入異常處理函數(shù)，在此函數(shù)中將啟動(dòng)地址指向代碼備份區(qū)，并設(shè)置標(biāo)識(shí)位。代碼備份區(qū)保存的是設(shè)備出廠時(shí)最初版本的image文件，具有非常高的穩(wěn)定性，這樣就保證系統(tǒng)功能正常運(yùn)行，并確保服務(wù)器端與客戶端正常通信。異常處理流程如圖4所示。

當(dāng)軟件更新過程中遇到致命異常時(shí)，通過異常處理程序，系統(tǒng)能夠重新啟動(dòng)備份的軟件版本，有效地提高了嵌入式系統(tǒng)自更新機(jī)制的安全性，避免了系統(tǒng)徹底崩潰。

3 測(cè) 試
為了評(píng)估自更新機(jī)制的穩(wěn)定性和安全性，確保其適用于真實(shí)設(shè)備與網(wǎng)絡(luò)，測(cè)試應(yīng)盡可能覆蓋現(xiàn)實(shí)情況中可能遇到的情況。用戶能看到的升級(jí)性能主要有更新包下載時(shí)間和自更新時(shí)間。設(shè)備廠商關(guān)注的是高穩(wěn)定性和安全性，以及更新包所占Flash的比例。測(cè)試中應(yīng)考慮到各種版本，制作測(cè)試矩陣，然后按順序測(cè)試，包括回退更新。
在一個(gè)實(shí)際運(yùn)行的移動(dòng)設(shè)備中驗(yàn)證和測(cè)試更新機(jī)制的性能。首先測(cè)試更新進(jìn)程的通信狀況。結(jié)果表明，每次均能正確地與服務(wù)器端建立會(huì)話，并進(jìn)行數(shù)據(jù)傳輸；更新包均能通過無線網(wǎng)絡(luò)準(zhǔn)確下載并存儲(chǔ)至客戶端。測(cè)試的重點(diǎn)是系統(tǒng)更新結(jié)束后新程序啟動(dòng)的穩(wěn)定性和安全性。對(duì)軟件更新過程進(jìn)行干擾，以測(cè)試bootloader能否正確啟動(dòng)。測(cè)試中模擬了兩大類情況：一類是更新包隨機(jī)挑選版本的相互升級(jí)，另一類是人為設(shè)置導(dǎo)致更新包出現(xiàn)不能啟動(dòng)錯(cuò)誤的數(shù)據(jù)，然后進(jìn)行升級(jí)。設(shè)計(jì)三種具體方案進(jìn)行測(cè)試，每個(gè)方案測(cè)試30次，查看系統(tǒng)能否按預(yù)期結(jié)果啟動(dòng)程序。測(cè)試方案及結(jié)果如表1所列。

從測(cè)試結(jié)果看出，系統(tǒng)更新后，每次均能正確啟動(dòng)程序；此外，更新機(jī)制對(duì)代碼區(qū)具有較強(qiáng)的修復(fù)能力，防止了由于數(shù)據(jù)異常而導(dǎo)致的無法啟動(dòng)。本更新機(jī)制能有效地提高嵌入式軟件更新后重新啟動(dòng)的穩(wěn)定性和可靠性。

結(jié) 語
本文提出了一種具有較高穩(wěn)定性和安全性、基于bootloader的嵌入式軟件自動(dòng)更新機(jī)制。該更新機(jī)制同時(shí)保存了3個(gè)文件，需要較多的Flash存儲(chǔ)空間，但同時(shí)降低了維護(hù)成本。其創(chuàng)新點(diǎn)在于設(shè)置1個(gè)標(biāo)識(shí)區(qū)、3個(gè)程序存儲(chǔ)區(qū)并設(shè)計(jì)了異常機(jī)制，提高了嵌入式系統(tǒng)更新過程的穩(wěn)定性，尤其能夠有效地防止軟件更新后系統(tǒng)啟動(dòng)失敗的情況，具有較高的實(shí)用價(jià)值。