引 言

隨著嵌入式系統(tǒng)的發(fā)展和廣泛應(yīng)用，必不可少的維護工作變得日益繁重。如移動電話在用戶使用過程中，部分未能在軟件研發(fā)階段發(fā)現(xiàn)的缺陷會逐漸暴露，不可避免地增加了維護成本。又如在設(shè)備運行期間，用戶往往會基于原有軟硬件對產(chǎn)品提出新功能或更高的性能要求，這對軟件重用性提出了挑戰(zhàn)。在移動設(shè)備數(shù)量較多，而且使用地點無法預(yù)知的情況下，采用傳統(tǒng)的人工更新方式會耗費大量的人力物力。自更新技術(shù)在嵌入式系統(tǒng)中分為兩個相互聯(lián)系又相互獨立的階段：首先是將更新包下載至本地移動設(shè)備中，然后在本地移動設(shè)備中實現(xiàn)自更新。
將自更新技術(shù)嵌入RTOS中的關(guān)鍵在于自更新后系統(tǒng)啟動的穩(wěn)定性。嵌入式移動系統(tǒng)一般都有獨立的boot―loader對系統(tǒng)進行初始化并引導加載內(nèi)核。這種啟動基于bootloader，該自更新機制決定了bootloader不僅僅起到加載內(nèi)核鏡像這一基本功能，而是被看作是一個虛擬系統(tǒng)。

1 自更新機制的架構(gòu)
支持自更新功能的嵌入式系統(tǒng)由服務(wù)器端和客戶端兩部分組成。服務(wù)器端通過OMA協(xié)議，與客戶端建立無線連接?？蛻舳瞬捎没贏RM9的微處理器，配有8 MB的RAM和32 MB的NOR F1ash存儲器，及其他相關(guān)外圍設(shè)備，具有相對可見的bootloader程序。自更新機制架構(gòu)如圖1所示。

自更新機制總體流程如下：a．設(shè)備廠商根據(jù)需求，生成包括升級到新版本或返回到舊版本的多個更新包。b．這些更新包將被送至無線服務(wù)提供商處進行統(tǒng)一管理，并最終將更新包提供給用戶。c．在更新包提供給用戶前，每個單獨的移動設(shè)備將會選擇最優(yōu)方案(即網(wǎng)絡(luò)提供商)。d．服務(wù)器端通過傳輸機制(如OMA―DL 1．O協(xié)議標準或網(wǎng)絡(luò)提供商標準)與客戶端建立會話連接，客戶端將下載并存儲更新包。e．更新應(yīng)用程序?qū)⑴c用戶交互以獲得更新權(quán)限并進入更新進程。整個更新過程由bootloader完全控制，直到更新成功。f．更新后的目標設(shè)備重啟，并將更新結(jié)果發(fā)送至服務(wù)器端。

2 更新系統(tǒng)的設(shè)計
2．1 Flash存儲器的布局
原有嵌入式系統(tǒng)Flash存儲器的布局如圖2(a)所示。系統(tǒng)啟動時從Flash的首地址開始執(zhí)行，而bootloader和RTOS都位于code區(qū)，也就是bootloader并不獨立于內(nèi)核。將原本與代碼區(qū)相鄰的文件系統(tǒng)區(qū)后移，用于存儲更新包。這種布局也是很多嵌入式系統(tǒng)所采用的，尤其是許多商業(yè)系統(tǒng)。系統(tǒng)在更新過程中根據(jù)自更新算法與原有代碼區(qū)進行比對，燒寫到Flash中。這種Flash部署方法有一個致命的缺點，就是沒有考慮到更新過程中可能遇到的突發(fā)事件。比如，在更新過程中因為不可預(yù)料的掉電使得燒寫錯誤，完全可能導致軟件更新后系統(tǒng)無法啟動，出現(xiàn)這種情況后必須人工重新燒寫原有軟件。

為了在原有基礎(chǔ)上使系統(tǒng)具有高穩(wěn)定性與擴展性，需要對Flash進行重新布局，如圖2(b)所示。將代碼區(qū)劃分為兩個區(qū)域：bootloader區(qū)，這個區(qū)域不可被擦寫更新；RTOS區(qū)域，存放內(nèi)核及應(yīng)用程序。將更新包存儲區(qū)設(shè)計為4部分。其中一個用來存儲系統(tǒng)啟動和更新過程的標識參數(shù)，這些數(shù)據(jù)極為重要，掉電后仍需保存于Flash中。另一個存儲區(qū)用于存放更新時用到的更新包，稱為更新包區(qū)。第三個區(qū)域存儲下載的更新包，稱為更新包備份區(qū)。最后一個區(qū)域存放設(shè)備出廠時的軟件版本。bootloader固定在第一個分區(qū)，這樣的設(shè)計具有很強的可擴展性，涵蓋了更新算法。為了使人機接口更人性化，此區(qū)域包括LCD及其控制器的驅(qū)動和應(yīng)用程序，使更新過程對用戶可見。系統(tǒng)啟動時設(shè)置異常向量表，初始化內(nèi)存、堆棧指針寄存器、I／O器件、系統(tǒng)需求的RAM變量，使能中斷，然后根據(jù)啟動地址和更新標識這兩個參數(shù)跳轉(zhuǎn)執(zhí)行相應(yīng)代碼，每次更新都不改變bootloader區(qū)域的內(nèi)容。其中，啟動地址指向bootloader要執(zhí)行的代碼，更新標識用于記錄更新階段。
2．2 更新進程的設(shè)計
系統(tǒng)每次啟動后，服務(wù)器端主動報告當前有無可更新的軟件包。如果客戶端響應(yīng)并發(fā)起會話，則隨后檢查Flash上的更新包備份區(qū)，存儲下載的更新包，并更新標識。為了增強傳輸過程的安全性，在應(yīng)用層設(shè)計一套具有校驗、確認和斷點續(xù)傳功能的收發(fā)協(xié)議，以保證數(shù)據(jù)能夠準確地通過移動通信系統(tǒng)傳輸?shù)娇蛻舳恕?br /> 當更新包下載完畢后，先將更新包由備份區(qū)拷貝至更新包區(qū)，更新進程根據(jù)已經(jīng)設(shè)定的代碼區(qū)在Flash中的地址，調(diào)用Flash的讀寫函數(shù)通過比對算法將更新包寫入代碼區(qū)。更新結(jié)束后設(shè)置標識，如果由于某種原因沒有更新成功則標識位不變，系統(tǒng)復位后繼續(xù)更新直到更新成功?？蓞⒖既缦麓鷺?gòu)：