摘要：給出了一種控制網絡嵌入式設備在線升級的方案，采用了關鍵點控制的方法，實現(xiàn)了升級過程自動檢測選擇升級流程，升級前后不需要重啟設備，升級過程用戶不可見，較大地改進了常用升級方案的用戶友好性。在此重點結合網絡設備升級保證系統(tǒng)安全性的要求，通過關鍵點的配合控制，保證升級對系統(tǒng)的全面安全。該升級方案在嵌入式網絡設備上進行驗證，結果證明了方法的正確性和可靠性。

關鍵詞：在線升級；正常運行系統(tǒng)；基本運行系統(tǒng)；關鍵點控制

隨著嵌入式操作系統(tǒng)技術的發(fā)展，在網絡終端設備中有越來越廣泛的應用。在實際使用中，為了擴展業(yè)務功能、解決軟件中存在的問題和提升設備性能，或者為了滿足設備的定制業(yè)務(如廣告業(yè)務)，需要對嵌入式設備的軟件系統(tǒng)或者資源文件及時進行更新，就是軟件系統(tǒng)的升級業(yè)務。目前，嵌入式設備軟件更新有2種方式：一種是在本地使用PC機通過串口(或者網口)將軟件下載到設備中完成軟件系統(tǒng)的升級；另一種是利用網絡進行在線升級。前者只能在本地進行軟件升級操作，不能夠批量更新，適合于實驗室調試使用，而后者能夠對網絡中在線終端進行批量升級，得到廣泛的應用。實際上，軟件在線升級已經成為網絡終端設備的一項基本功能，軟件在線升級的方案不同，升級過程的特點和安全性也不相同。

1 系統(tǒng)軟件升級常用方案

網絡終端設備的系統(tǒng)軟件保存在FLASH中，系統(tǒng)啟動時把系統(tǒng)軟件加載到內存中運行，軟件升級的本質是從網絡下載新的系統(tǒng)軟件內容，把原來系統(tǒng)軟件內容擦除，然后寫入新的系統(tǒng)軟件，系統(tǒng)重啟后加載新的系統(tǒng)軟件。常用的升級方案包括單系統(tǒng)升級方案和雙系統(tǒng)升級方案：

(1)單系統(tǒng)升級方案(如圖1所示)：系統(tǒng)啟動后進行正常的業(yè)務功能，此時網絡后臺檢測終端版本號判斷是否有新版本可升級，如果檢測到當前終端的版本號低于最新版本號，則立即從網絡下載升級包啟動升級過程，在用戶進行業(yè)務功能的過程中后臺完成對于原系統(tǒng)軟件的擦除，并寫入新的系統(tǒng)軟件和更新當前版本號。該升級過程對于用戶是透明的，用戶只有在終端重啟后再加載新的系統(tǒng)軟件。但是該升級方案的安全性比較弱，因為如果內容擦除后終端斷電或者重啟，則終端中系統(tǒng)軟件被破壞，沒有可用的系統(tǒng)軟件，終端以后再不能正常啟動，必須技術支持人員到現(xiàn)場完成軟件修復升級。另外，如果新寫入的系統(tǒng)軟件因為網絡傳輸或者其他原因存在錯誤時，也會上面的結果。這種升級方案存在較明顯的安全性缺陷，現(xiàn)在已經較少使用。

(2)雙系統(tǒng)升級方案(如圖2所示)：為了增強升級過程的安全性，出現(xiàn)了雙系統(tǒng)的升級方案，通常的處理是終端中存在一個基本運行系統(tǒng)和一個正常運行系統(tǒng)，分別處于FLASH的不同分區(qū)中，基本運行系統(tǒng)只用于升級正常運行系統(tǒng)軟件，正常運行系統(tǒng)完成用戶的正常業(yè)務。業(yè)務過程中自動從網絡檢測最新版本號，判斷是否需要升級系統(tǒng)軟件，如果檢測到有需要升級的系統(tǒng)軟件，則終端設置從基本運行系統(tǒng)啟動并提示用戶重啟系統(tǒng)。終端從基本運行系統(tǒng)啟動后，從網絡下載正常運行系統(tǒng)軟件并完成升級過程，寫入完成后更新當前版本號，設置從正常運行系統(tǒng)啟動后重啟，終端從正常運行系統(tǒng)啟動，進行正常的用戶業(yè)務。

該升級方案克服上單系統(tǒng)升級方案中安全性的缺陷，升級過程中如果出現(xiàn)終端異常斷電或者重啟，只有正常運行系統(tǒng)軟件的被破壞，最小備份系統(tǒng)保持正常是升級功能，系統(tǒng)重啟后繼續(xù)從最小備份系統(tǒng)啟動，完成系統(tǒng)升級功能。目前網絡設備中常會使用該升級，但這種升級方案每次都需要重啟系統(tǒng)，且用戶需要停止業(yè)務進行系統(tǒng)軟件的升級，整個升級過程用戶只能等待，對于現(xiàn)在用戶體驗越來越重要的終端設備，該升級方案有較明顯的易用性缺陷。