嵌入式Linux 的safe mode 設(shè)計(jì)與實(shí)現(xiàn)

目前的各種嵌入式產(chǎn)品已經(jīng)豐富多彩，它們正改變著我們的生活方式。隨著嵌入式產(chǎn)品功能的增加，如何讓用戶對(duì)已購買的產(chǎn)品的升級(jí)能安全地、順利地完成，避免升級(jí)過程中出現(xiàn)的意外掉電所引起的產(chǎn)品故障，這樣的問題要求嵌入產(chǎn)品設(shè)計(jì)開發(fā)者在設(shè)計(jì)時(shí)就將產(chǎn)品的 safe mode 安全模式考慮進(jìn)去。這里我們將以一個(gè)嵌入式Linux 網(wǎng)絡(luò)播放器為例，來說明 safe mode 安全模式的設(shè)計(jì)與實(shí)現(xiàn)。通過本文，我們可以了解到針對(duì)一個(gè)實(shí)際的嵌入式系統(tǒng)，設(shè)計(jì)中需要注意的技術(shù)要點(diǎn)和實(shí)現(xiàn)細(xì)節(jié)。

　　為什么需要 safe mode(安全模式)

　　當(dāng)用戶購買一個(gè)產(chǎn)品后，在后續(xù)的服務(wù)中，可能還會(huì)發(fā)生一些費(fèi)用，讓產(chǎn)品開發(fā)商增加成本，如免費(fèi)電話咨詢，產(chǎn)品的維修、寄送。所以說將產(chǎn)品的賣出并不意味著最終的贏利。這樣的情況下，產(chǎn)品的設(shè)計(jì)就需要更加合理，更加優(yōu)化，來滿足用戶各種可能的需求。特別是在發(fā)生異常故障的時(shí)候，如果能引導(dǎo)客戶自行完成診斷、修復(fù)，那么將大大降低后續(xù)的服務(wù)成本。正因?yàn)槿绱?，產(chǎn)品故障時(shí)，就很需要safe mode安全模式來幫助用戶完成恢復(fù)的工作。

　　從節(jié)約產(chǎn)品的成本、產(chǎn)品所能提供的功能上來看，safe mode 是大有裨益的。

　　大家所熟知的 windows 系統(tǒng)，也提供了 safe mode 安全模式，它就可以幫助用戶解決系統(tǒng)不穩(wěn)定，硬件沖突等諸多故障，讓用戶在自己可以操作的能力范圍內(nèi)先行對(duì)系統(tǒng)進(jìn)行診斷與修復(fù)。在很大程度上， windows 的 safe mode 給用戶與 Microsoft 都帶來了很大的便利。

　　嵌入式Linux產(chǎn)品與其他IT產(chǎn)品不同的地方，主要是使用flash來存貯運(yùn)行時(shí)的系統(tǒng)。它沒有大的內(nèi)存，沒有大的存儲(chǔ)空間，但它卻也是一個(gè)完整的系統(tǒng)。

　　在通常情況下，嵌入式Linux產(chǎn)品的flash上的內(nèi)容是不會(huì)被破壞的，也即它們會(huì)有著較好的穩(wěn)定性，不會(huì)因?yàn)橛脩舻某Ｒ?guī)使用而導(dǎo)致flash上的 firmware被破壞。但隨著產(chǎn)品的更新升級(jí)，用戶也需要在自己家中完成對(duì)已購買商品的更新?lián)Q代。而用戶大多屬于非技術(shù)熟悉者，在更新升級(jí)中就可能出現(xiàn)種種意想不到的情況。

　　比如在用戶做firmware升級(jí)更新時(shí)，平時(shí)不會(huì)出現(xiàn)問題的firmware可能在這個(gè)過程中，就面臨著巨大的風(fēng)險(xiǎn)，極有可能致使用戶的系統(tǒng)無法啟動(dòng)，不能正常工作。這樣的情況是我們不愿意看到的，而實(shí)際中卻的的確確可能會(huì)發(fā)生。

　　考慮這樣一個(gè)場(chǎng)景：當(dāng)用戶對(duì)產(chǎn)品進(jìn)行firmware升級(jí)時(shí)，如果在燒寫flash的過程中，意外掉電，那么用戶手中的產(chǎn)品就將無法再次啟動(dòng)，因?yàn)?rootfs系統(tǒng)已經(jīng)被破壞了。用戶所能做的，也只能將產(chǎn)品送回產(chǎn)商進(jìn)行維修。這樣來回的過程不僅耗費(fèi)用戶的精力，同樣也會(huì)增加產(chǎn)品開發(fā)商的成本。在產(chǎn)品升級(jí)換代很快的當(dāng)前市場(chǎng)情況下，這樣的情況可能會(huì)經(jīng)常發(fā)生。

　　如何避免這樣的情況的發(fā)生呢?如果我們可以提供一個(gè)機(jī)制，在進(jìn)行升級(jí)前即往flash中寫入一個(gè)標(biāo)記，正常完成后，再寫入另一個(gè)標(biāo)記來表示整個(gè)過程的正常結(jié)束，否則的話，燒寫時(shí)掉電不會(huì)寫入第二個(gè)標(biāo)記，只有第一個(gè)標(biāo)記，那么就認(rèn)為產(chǎn)品故障，這個(gè)時(shí)候，進(jìn)入另一個(gè)新的提示界面，讓用戶自己選擇從 USB或FTP來重新升級(jí)firmware。這樣的話，整個(gè)過程用戶就完全可以在界面的友好提示下自己完成，方便了用戶與產(chǎn)品開發(fā)商。

　　系統(tǒng)架構(gòu)

　　本文以一個(gè)實(shí)際的產(chǎn)品為例，來說明safe mode的設(shè)計(jì)。

　　系統(tǒng)架構(gòu)

本系統(tǒng)為一個(gè)嵌入式Linux網(wǎng)絡(luò)播放器，主要的功能為播放家庭網(wǎng)絡(luò)中的多媒體文件，在家庭客廳等環(huán)境中有著大量的應(yīng)用，它可以給用戶提供更方便快捷的媒體文件的播放方式，并能充分利用家庭音響系統(tǒng)的巨大功能，而非PC環(huán)境下有限的外部設(shè)備，大大改善了媒體文件的播放體驗(yàn)。

　　本系統(tǒng)的架構(gòu)如下圖：

產(chǎn)品所使用的flash總大小為16M。

　　系統(tǒng)包括三大部分，即bootloader，config, kernel + rootfs：

另外，/dev/mtdblock/0，在系統(tǒng)中對(duì)應(yīng)整個(gè)flash block，即整個(gè)16M空間。

　　系統(tǒng)啟動(dòng)時(shí)，bootloader將kernel和根文件映象從flash上讀取到RAM空間中，為內(nèi)核設(shè)置啟動(dòng)參數(shù)，調(diào)用內(nèi)核，進(jìn)入application，進(jìn)行媒體文件的播放。

　　這個(gè)通常意義上的嵌入式Linux系統(tǒng)，它是不帶safe mode安全模式的。

　　這樣的系統(tǒng)，在做系統(tǒng)更新升級(jí)時(shí)，主要是對(duì)kernel+rootfs部分進(jìn)行升級(jí)，以此來增加系統(tǒng)的功能。

　　升級(jí)時(shí)，application主要是操作/dev/mtdblock/3設(shè)備文件：

　　第一步：下載新的firmware到ramfs中，也即ram disk中，比如/tmp目錄下，采用的更新方式可以是USB或FTP;

　　第二步：read /tmp/firmware文件，并write到設(shè)備文件/dev/mtdblock/3上，即對(duì)已有的firmware進(jìn)行了更新。

　　在升級(jí)的過程中，我們會(huì)提供友好的界面給用戶，來提示下載進(jìn)度與燒寫flash的進(jìn)度，讓用戶可以看到正在發(fā)生的狀況。

　　最后燒寫完成后，重新啟動(dòng)系統(tǒng)，即可進(jìn)入到新的firmware中。

　　在通常的更新中，用戶的產(chǎn)品配置config一般不去修改，保持用戶已經(jīng)做的配置選項(xiàng)，不能破壞。Config內(nèi)容對(duì)應(yīng)為/dev/mtdblock/2設(shè)備文件。

　　從USB/FTP 上更新時(shí)，所使用的firmware文件需要是一個(gè)更加完整的image文件，可以包括bootloader, default config, kernel+rootfs，并讓application可以做到視image中的標(biāo)記來決定是否需要更新bootloader、config等內(nèi)容，這樣會(huì)更加靈活。

　　在更新firmware時(shí)，如果掉電，那么kernel + rootfs部分將會(huì)出現(xiàn)不完整的情況，也就是說只寫入了部分內(nèi)容，而中途中斷了，這樣的話，一個(gè)不完整的系統(tǒng)將無法正常工作。在這樣的情況下就需要safe mode安全模式了。

　　safe mode架構(gòu)設(shè)計(jì)

　　Safe mode的設(shè)計(jì)中，對(duì)原來的系統(tǒng)增加了兩個(gè)部分的內(nèi)容：

　　kernel + rootfs，即簡(jiǎn)單的UI界面與功能;

　　magic number，即燒寫flash的標(biāo)記。

safe mode實(shí)際上也是一個(gè)kernel + rootfs部分，只是它所具有的功能只包括一些簡(jiǎn)單的界面，主要是提供網(wǎng)絡(luò)設(shè)置，從USB/FTP下載firmware，完成對(duì)flash的燒寫。

　　為了區(qū)分，這里，將主功能部分的kernel + rootfs稱為master。

　　我們將safe mode存放在master的后部，預(yù)留的flash大小為4M。

　　Magic number只占用一個(gè)字節(jié)的大小，是在這4M的最后的部分的一個(gè)字節(jié)，也即原始系統(tǒng)的15872K的最后一個(gè)字節(jié)位置處。

　　在開始燒寫flash前，將magic number設(shè)置為0x55，表示燒寫的開始。燒寫正常結(jié)束后，將magic number設(shè)置為0xAA，表示燒寫正常結(jié)束。

　　如果新產(chǎn)品中具備了safe mode模式，那么在以后再次更新升級(jí)時(shí)，開始燒寫flash時(shí)，magic number的位置將會(huì)有0x55標(biāo)記，如果燒寫中途掉電，在重新啟動(dòng)后，將由bootloader來檢查magic number的值，如果內(nèi)容為0x55，那么bootloader將從safemode部分讀出kernel和根文件映象，再為內(nèi)核設(shè)置啟動(dòng)參數(shù)，調(diào)用內(nèi)核，進(jìn)入safe mode application。

　　如果bootloader讀到magic number為0xAA，那么說明master firmware是正常的，就將直接進(jìn)入master。

　　所以涉及到safe mode的地方也包括了對(duì)bootloader的修改，需要在系統(tǒng)上電階段也檢查safe mode的magic number，這個(gè)過程是必不可少的，只有在啟動(dòng)階段就檢查magic number，才能跳過損壞的master系統(tǒng)，進(jìn)入安全模式，達(dá)到恢復(fù)系統(tǒng)的目的。

　　safe mode架構(gòu)實(shí)現(xiàn)