CN104991805A - 智能设备及其系统灾备控制方法 - Google Patents

Abstract

本发明的主要目的在于提供一种智能设备及其系统灾备控制方法，该方法包括如下步骤：启动智能设备，检测到其闪存介质第一分区的特定存储位置的安全标识指示该分区的系统异常时，跳转启动该闪存介质第二分区的系统；第二分区的系统完成启动后远程获取系统固件，将其安装到所述闪存介质第一分区以完成系统重装；重装完成后重写所述闪存介质第一分区特定存储位置以修复所述的安全标识。本发明为智能设备实现了系统的灾备防控手段，使得智能设备的运行更为安全，维护更为简便，有利于延长智能设备的使用寿命。

Description

智能设备及其系统灾备控制方法

技术领域

本发明涉及一种智能设备安全控制技术，尤其涉及一种智能设备及其系统灾备控制方法。

背景技术

随着物联网的普及，智能设备的应用越来越广泛，诸如智能摄像头、智能行车记录仪、智能手表、智能手环等，已经越来越普遍地见诸日常生活。这类智能设备通常功能简单、体积小巧、可移动性强、智能化程度及其功能相对受限，由此这些特点的限制，使得智能设备通常不如手机、平板电脑之类的智能移动终端，难以提供友善方便的人机交互体验。例如其中的智能摄像头，通常并不提供显示屏，这种情况下，一旦设备故障，用户无法自行对这类智能设备实施修复、维护等操作，造成非常大的不便。

智能设备通常采用以闪存技术实现的各类存储卡，例如SD卡、TF卡等作为其存储介质，用于存储智能设备的操作系统和必要的数据，通常划分出系统分区和数据分区，系统分区用于安装操作系统，数据分区则用于存储必要的数据，理论上，对操作系统分区读写不会导致数据分区的故障。智能设备需要进行系统升级时，下载相应原系统固件，在内存中对系统固件进行解压缩，然后直接以覆盖的方式重写存储卡的系统分区中，实现对系统的升级。这个过程俗称OTA，延伸自Android系统，是指Android系统提供的标准软件升级方式，可以无损失升级系统，主要手段是通过网络(包括WIFI、3G)自动下载OTA升级包、自动升级，不局限，也支持通过下载OTA升级包到SD卡升级。

一种典型的案例是，智能设备OTA升级过程中，如果出现断电，写入系统分区的数据不完全，当智能设备接通电源后，由于系统分区的操作系统已经被破坏，便会造成智能设备的灾难。引导程序即使试图引导该系统恢复启动，也无法实现。而由前述对智能设备所分析的特点可知，由于缺少良好的用户交互界面和技术手段，对智能设备进行修复会变得非常麻烦，因此，有必要对智能设备的灾难防备提出相应的解决方案。

发明内容

本发明的目的旨在解决上述至少一个问题，提供一种智能设备及其系统灾备控制方法。

为了实现本发明的目的，本发明采取如下技术方案：

本发明提供一种智能设备系统灾备控制方法，包括如下步骤：

启动智能设备，检测到其闪存介质第一分区的特定存储位置的安全标识指示该分区的系统异常时，跳转启动该闪存介质第二分区的系统；

第二分区的系统完成启动后远程获取系统固件，将其安装到所述闪存介质第一分区以完成系统重装；

重装完成后重写所述闪存介质第一分区特定存储位置以修复所述的安全标识。

较佳的，所述闪存介质第一分区特定存储位置的安全标识被擦除或非为特定比特串时，判定该分区的系统异常。

具体的，所述闪存介质的第一分区与第二分区的系统，由同一系统的相同或不同版本的系统固件安装而得。

进一步，所述第二分区的重装过程包括如下具体步骤：

所述第二分区的系统完成启动后，通过所述远程接口发送告警信息；

当其接收到该远程接口反馈的响应于该告警信息的修复指令后，通过远程接口下载所述的系统固件；

系统固件下载完成后，将该系统固件安装到所述的第一分区。

较佳的，所述的远程接口为基于蓝牙、WiFi相关协议所规范的远程接口。

较佳的，所述远程接口的对应端为移动设备或云端服务器。

进一步，所述第二分区的系统完成启动后，先检测所述第一分区特定存储位置的安全标识确认其表征该分区的系统异常之后，才通过所述远程接口发送所述告警信息。

较佳的，通过远程接口所传输的信息或指令以安全套接字超文本链接协议所规范的数据报文进行封装。

进一步，本方法还包括后续步骤：重启该智能设备以启动所述闪存介质第一分区的系统。

具体的，所述后续步骤自动或响应于外部指令执行所述重启智能设备的动作。

进一步，检测到所述的安全标识指示第一分区的系统为正常状态时，启动该第一分区的系统。

较佳的，检测到所述的安全标识为特定比特串时，判定该安全标识指示第一分区的系统为正常状态。

较佳的，所述的闪存介质为NAND型闪存卡，所述的第一分区特定存储位置为一个区块。

较佳的，所述第一分区采用Squash文件系统。

具体的，通过将所述系统固件复制到所述的第一分区实现重装。

较佳的，检测安全标识的步骤在智能设备的引导程序中执行。

本发明提供的一种智能设备，包括：

检测单元，用于在启动智能设备时检测闪存介质第一分区的特定存储位置的安全标识，当该安全标识指示该分区的系统异常时，跳转启动该闪存介质第二分区的系统；

重装单元，用于在第二分区的系统完成启动后远程获取系统固件，将其安装到所述闪存介质第一分区以完成系统重装；

修复单元，用于在重装完成后重写所述闪存介质第一分区特定存储位置以修复所述的安全标识。

较佳的，所述检测单元检测所述安全标识时，当检测到该闪存介质第一分区特定存储位置的安全标识被擦除或非为特定比特串时，判定该分区的系统异常。

具体的，所述闪存介质的第一分区与第二分区的系统，由同一系统的相同或不同版本的系统固件安装而得。

进一步，所述重装单元具体包括：

告警模块，用于在所述第二分区的系统完成启动后，通过所述远程接口发送告警信息；

下载模块，被配置为当其接收到该远程接口反馈的响应于该告警信息的修复指令后，通过远程接口下载所述的系统固件；

安装模块，用于在系统固件下载完成后，将该系统固件安装到所述的第一分区。

较佳的，所述的远程接口为基于蓝牙、WiFi相关协议所规范的远程接口。

较佳的，所述远程接口的对应端为移动设备或云端服务器。

进一步，所述告警模块被配置为：在所述第二分区的系统完成启动后，先检测所述第一分区特定存储位置的安全标识确认其表征该分区的系统异常之后，才通过所述远程接口发送所述告警信息。

较佳的，所述重装单元中，通过远程接口所传输的信息或指令以安全套接字超文本链接协议所规范的数据报文进行封装。

进一步，本智能设备还包括重启单元，用于重启该智能设备以启动所述闪存介质第一分区的系统。

具体的，所述重启单元被配置为自动或响应于外部指令执行所述重启智能设备的动作。

进一步，所述的检测单元被配置为检测到所述的安全标识指示第一分区的系统为正常状态时，启动该第一分区的系统。

较佳的，所述的检测单元被配置为检测到所述的安全标识为特定比特串时，判定该安全标识指示第一分区的系统为正常状态。

较佳的，所述的闪存介质为NAND型闪存卡，所述的第一分区特定存储位置为一个区块。

具体的，所述第一分区用于存储Squash系统文件。

进一步，所述的重装单元被配置为通过将所述系统固件复制到所述的第一分区实现重装。

较佳的，所述的检测单元，被配置为其检测安全标识的过程在智能设备的引导程序中执行。

与现有技术相比较，本发明的方案具有以下优点：

本发明的智能设备，通过将其闪存介质划分出两个系统分区，即第一分区和第二分区，在两个分区中安装两个系统，第一分区的系统成为主系统，第二分区的系统成为备份系统。第一分区的系统在OTA过程中出现故障时，由于其特定存储位置的安全标识在OTA之前会被擦除或改写，一旦出现故障，未能及时重写该安全标识，该安全标识是否为特定内容便可用于指示主系统是否出现故障。当智能设备启动时，首先检测该第一分区的安全标识是否异常，当判定为异常时，便跳转去启动第二分区的备份系统，由备份系统进一步下载系统固件来重装第一分区的系统，并且修复所述的安全标识。由此，智能设备便通过其闪存介质实现了灾备控制，一旦第一分区的系统出现故障，智能设备便可通过其提供的第二分区的系统来实现对第一分区的系统的修复，使智能设备的安全性进一步提高。

本发明进一步具体化的方案中，智能设备可以通过远程接口发送告警信息并接收相应的修复指令，由此可以使智能设备在发生系统故障时与云端或者与手机之类的移动设备建立交互通道，方便用户根据智能设备报告的具体情况来实现对智能设备的修复控制，使用户更系统地掌握智能设备的安全情况，体现更为人性化的用户体验。

本发明附加的方面和优点将在下面的描述中部分给出，这些将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

本发明上述的和/或附加的方面和优点从下面结合附图对实施例的描述中将变得明显和容易理解，其中：

图1为本发明的智能设备系统灾备控制方法第一实施例的原理示意图；

图2为本发明的智能设备系统灾备控制方法的步骤S12的具体流程示意图；

图3为本发明的智能设备系统灾备控制方法第二实施例的原理示意图；

图4为本发明的智能设备第一实施例的结构示意图；

图5为本发明的智能设备的重装单元的具体结构示意图；

图6为本发明的智能设备第二实施例的结构示意图。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。

本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式“一”、“一个”、“所述”和“该”也可包括复数形式。应该进一步理解的是，本发明的说明书中使用的措辞“包括”是指存在所述特征、整数、步骤、操作、元件和/或组件，但是并不排除存在或添加一个或多个其他特征、整数、步骤、操作、元件、组件和/或它们的组。应该理解，当我们称元件被“连接”或“耦接”到另一元件时，它可以直接连接或耦接到其他元件，或者也可以存在中间元件。此外，这里使用的“连接”或“耦接”可以包括无线连接或无线耦接。这里使用的措辞“和/或”包括一个或更多个相关联的列出项的全部或任一单元和全部组合。

本技术领域技术人员可以理解，除非另外定义，这里使用的所有术语(包括技术术语和科学术语)，具有与本发明所属领域中的普通技术人员的一般理解相同的意义。还应该理解的是，诸如通用字典中定义的那些术语，应该被理解为具有与现有技术的上下文中的意义一致的意义，并且除非像这里一样被特定定义，否则不会用理想化或过于正式的含义来解释。

本技术领域技术人员可以理解，这里所使用的“终端”、“设备”、“智能设备”、“智能控制终端”既包括无线信号接收器的设备，其仅具备无发射能力的无线信号接收器的设备，又包括接收和发射硬件的设备，其具有能够在双向通信链路上，执行双向通信的接收和发射硬件的设备。这种设备可以包括：蜂窝或其他通信设备，其具有单线路显示器或多线路显示器或没有多线路显示器的蜂窝或其他通信设备；PCS(PersonalCommunications Service，个人通信系统)，其可以组合语音、数据处理、传真和/或数据通信能力；PDA(Personal Digital Assistant，个人数字助理)，其可以包括射频接收器、寻呼机、互联网/内联网访问、网络浏览器、记事本、日历和/或GPS(Global Positioning System，全球定位系统)接收器；常规膝上型和/或掌上型计算机或其他设备，其具有和/或包括射频接收器的常规膝上型和/或掌上型计算机或其他设备。这里所使用的各种“终端”可以是便携式、可运输、安装在交通工具(航空、海运和/或陆地)中的，或者适合于和/或配置为在本地运行，和/或以分布形式，运行在地球和/或空间的任何其他位置运行。这里所使用的各种“终端”还可以是通信终端、上网终端、音乐/视频播放终端，例如可以是PDA、MID(Mobile InternetDevice，移动互联网设备)和/或具有音乐/视频播放功能的移动电话，也可以是智能电视、机顶盒、智能摄像头、智能手环、智能手表、智能遥控器、智能插座等设备。

本发明所称的闪存介质，泛指利用闪存技术实现的存储介质。闪存(Flash Memory)是一种长寿命的非易失性(在断电情况下仍能保持所存储的数据信息)的存储器，数据删除不是以单个的字节为单位而是以固定的区块(NAND型闪存)为单位(注意：NOR Flash为字节存储)，区块大小一般为256KB到20MB。闪存是电子可擦除只读存储器(EEPROM)的变种，闪存与EEPROM不同的是，EEPROM能在字节水平上进行删除和重写而不是整个芯片擦写，而闪存的大部分芯片需要块擦除。由于其断电时仍能保存数据，闪存通常被用来保存设置信息，如在电脑的BIOS(基本程序)、PDA(个人数字助理)、数码相机中保存资料等。

闪存介质在形式上通常是闪存卡(Flash Card)，闪存卡是利用闪存(Flash Memory)技术达到存储电子信息的存储器，一般应用在智能摄像头、智能手环、智能手表、数码相机，掌上电脑，MP3等小型数码产品中作为存储介质，所以样子小巧，有如一张卡片，所以称之为闪存卡。根据不同的生产厂商和不同的应用，闪存卡大致有SmartMedia(SM卡)、Compact Flash(CF卡)、MultiMediaCard(MMC卡)、Secure Digital(SD卡)、Memory Stick(记忆棒)、XD-Picture Card(XD卡)和微硬盘(MICRODRIVE)这些闪存卡虽然外观、规格不同，但是技术原理都是相同的。

对于闪存介质中存储的操作系统而言，以Linux示例，在当前的嵌入式操作系统开发中，Linux操作系统通常被压缩成Image后存放在Flash设备中。在系统启动过程中，这些Image被直接挂载到根文件系统，然而这时的根文件系统是只读的，用户不能在这个文件系统中进行任何写的操作。本文的示例所描述的的Linux Image由BootLoader、kernel、initrd、rootfs组成，它们共同存在于一个可以启动的闪存介质中，各个模块的作用如下：

Boot Loader：由BIOS加载，用于将后续的Kernel和initrd的装载到内存中；

kernel：为initrd运行提供基础的运行环境；

initrd：检测并加载各种驱动程序；

rootfs：根文件系统，用户的各种操作都是基于这个被最后加载的文件系统。

其调用顺序是Boot Loader->kernel->initrd->rootfs。

当机器上电时首先智能设备的BIOS会启动，然后装载智能设备中的Boot Loader、kernel、initrd到内存中，由于这些文件大小总和小于10M，所以直接拷贝到内存中再执行不会有问题。

最后要加载的rootfs便是用户最终进行读写操作的文件系统，也即是本发明的智能设备的第一分区或第二分区所安装的操作系统。在非嵌入式系统中，rootfs这部分文件通常储存在可直接读写的硬盘上，因此直接挂载到根目录后(例如：mount/dev/sda1/mnt)就可以进行读写操作。然而，在本发明采用的嵌入式系统中，它是一个压缩的文件系统，大小通常是好几百兆，解压后的大小都超过1G，如果直接mount到系统目录，那么系统目录是只读的，不可进行写入操作。而如果把它加压到内存中可以实现读写的操作，但是这么大的文件直接解压到内存中对于嵌入式设备来说是不可接受的。因此需要找到一种不拷贝rootfs到内存中，同时又可以对最终的根文件系统进行读写的方法。

在嵌入式的环境之下，内存和外存资源都需要节约使用。如果使用RAMDISK(把内存当作disk)方式来使用文件系统，那么在系统运行之后，首先要把外存(Flash)上的映像文件解压缩到内存中，构造起RAMDISK环境，才可以开始运行程序。但是它也有很致命的弱点。在正常情况下，同样的代码不仅在外存中占据了空间(以压缩后的形式存在)，而且还在内存中占用了更大的空间(以解压缩之后的形式存在)，这违背了嵌入式环境下尽量节省资源的要求。因此，本发明优先推荐以下两种方案来解决这个问题：

一种方案是CramFS文件系统，CramFS文件系统是专门针对闪存设计的只读压缩的文件系统，它并不需要一次性地将文件系统中的所有内容都解压缩到内存之中，而只是在系统需要访问某个位置的数据的时侯，马上计算出该数据在CramFS中的位置，将其实时地解压缩到内存之中，然后通过对内存的访问来获取文件系统中需要读取的数据。CramFS中的解压缩以及解压缩之后的内存中数据存放位置都是由CramFS文件系统本身进行维护的，用户并不需要了解具体的实现过程，因此这种方式增强了透明度，对开发人员来说，既方便，又节省了存储空间。

另一种方案是SquashFS，也是一个只读的文件系统，它可以将整个文件系统压缩在一起，存放在某个设备，某个分区或者普通的文件中。如果将其压缩到一个设备中，那么可以将其直接mount起来使用，而如果它仅仅是个文件的话，便可以将其当为一个loopback设备使用。

需要注意的是，以上的介绍主要用于更便捷地理解本发明，并非用于限制本发明的实施，理论上，无论采用何种技术方案来实现相应的文件系统，也无论采用何种分区格式包括FAT、NTFS、ext系列的分区格式在内，来划分所述的第一分区和第二分区，均不影响本发明的实施，本领域技术人员对此应当知晓。但是，本发明优选上述的SauqshFS文件系统，显然更适于智能设备这种小型化产品。

有鉴于上述原理，本发明的揭示的一种智能设备系统灾备控制方法，如图1所示，其包括如下步骤：

步骤S11：启动智能设备，检测到其闪存介质第一分区的特定存储位置的安全标识指示该分区的系统异常时，跳转启动该闪存介质第二分区的系统。

如前所述，智能设备的闪存介质，在本发明中可被格式化为两个分区，即第一分区和第二分区，进一步还可以格式化出一个用于存储数据的数据分区。其中的第一分区和第二分区，均安装有操作系统。通常情况下，智能设备出厂时，第一分区和第二分区便被同一系统固件安装其中，这种情况下两个分区的操作系统便是同一版本的。在智能设备使用的过程中，第一分区的操作系统可能不断被新版本的系统固件升级，而第二分区可以保持不升级的原始状态，由此便使两个分区的操作系统体现为不同版本的系统固件安装而得的系统，然而这只是系统版本的不同，不足以构成不同操作系统，本领域技术人员应当知晓。

本发明为了方便进行故障检测，在闪存介质的第一分区规定一个特定存储位置，例如前述的NAND型闪存介质的一个特定区块(或者NOR型闪存的一个或多个字节)，该特定存储位置用于存储一个安全标识。这个安全标识可以是规范了的比特串，例如一个单字节8位的比特串“10101010”，比特串的具体内容可以随意约定。

系统出厂时，在完成了系统安装之后，写入上述的安全标识。而在后续每次对第一分区的系统进行升级时，依据上述揭示的闪存原理，首先要擦除系统所占区块的数据，然后写入包含系统升级版本的系统固件。如果升级过程中，无论是擦除阶段，还是重写阶段，一旦出现断电，整个第一分区的系统必然故障。一种实施方式中，在擦除阶段，整个第一分区的数据被擦除重写，这时连同所述的安全标识也被擦除，重写入系统固件完成系统升级之后，本发明便向所述的特定存储位置重写入所述的安全标识。由此可见，该安全标识可以指示整个升级过程是否正常，从而可用于指示第一分区的系统是否异常。另一种实施方式中，在擦除阶段，不擦除所述特定存储位置的安全标识，而是修改其内容，例如修改为全零：“00000000”，当第一分区的系统完成重装之后，再修复该安全标识的内容为“10101010”，这种方式起到的效果与前例相同。这两种用于实现安全标识的方式，均无碍于本发明的实施，并且，均可起到分区校验的作用。

依据上述原理，本发明的智能设备启动时，在智能设备的引导程序Bootloader执行引导的过程中，首先检测第一分区的所述特定存储位置的安全标识是否为预先约定的特定比特串，例如前述的“10101010”，如果是，则认定该安全标识指示第一分区的系统处于正常状态，引导并启动该第一分区的系统；如果该比特串不存在，或者是全零，或者其它内容，那么，表明第一分区在上次升级过程中重写安全标识之后，可能因断电未能走完整个升级流程，系统安装不完全，出现故障，不是处于正常状态，不可直接使用，由此便需跳转启动该闪存介质第二分区的系统，Bootloader于是跳转执行所述的第二分区预装的备份系统。

进一步，本发明的智能设备系统灾备控制方法还包括：

步骤S12：第二分区的系统完成启动后远程获取系统固件，将其安装到所述闪存介质第一分区以完成系统重装。

第二分区的备份系统完成启动后，便为智能设备的维护提供了技术支撑，智能设备由此可以接入网络，或者与其他移动设备建立直连，从而可以受控执行相应的维护工作。为方便理解本步骤的各个环节，以下结合图2详细揭示其整个重装过程的各个具体步骤：

步骤S121：所述第二分区的系统完成启动后，通过所述远程接口发送告警信息。

当智能设备引导程序Bootloader引导第二分区启动备份系统之后，按照系统默认的操作流程，一种实施方式中，可以对所述的安全标识进行检测，同理可以通过比较该安全标识是否为预定的特定比特串而确认第一分区的系统处于异常状态，通常这种情况下，备份系统将获得肯定的结果，确认系统异常，由此便可继续其后续的程序，发出所述的告警信息。另一种实施方式中，备份系统也可以通过其它系统参数来确认第一分区的系统是否正常，例如通过同一账户的云端记载的系统版本数据来与自身的版本号相比较，确认并非自身版本号时，推测第一分区系统可能故障等。总之，在第二分区的系统完成启动之后，可以实现与第一分区的系统的底层驱动、顶层应用等相同的功能，除此之外，第二分区的系统适宜进一步确认第一分区的系统是否正常，在确认第一分区的系统异常时，发出所述的告警信息。

所述的告警信息的发出，是基于智能设备在第二分区的备份系统完成启动后接入了网络或者直连移动设备而实现的。通常，智能设备第一分区的系统在正常使用过程中，在所述的数据分区中记载了用于接入网络的配置信息，例如用于接入某个WiFi接入点的服务集标识(SSID)及其相应的密码，故而第二分区的系统启动后，可以共用这一配置信息，利用这一配置信息实现网络接入，使智能设备得以直接与云端通信，用户可以通过计算机终端上的浏览器，基于安全套接字超文本链接封装的数据报文与智能设备第二分区的系统进行通信，从而方便维护。

又如，智能设备支持蓝牙通信，其与手机之类的移动设备之间能够主动或被动地建立直连通道，相应的配置信息同理也被存储于所述的数据区中，手机同时又通过WiFi或GPRS、3G、4G等途径接入了互联网，则手机便可起到沟通智能设备与云端服务器的作用。

鉴于第二分区的系统启动完成后能够接入网络，与远程服务器或手机之类的移动设备建立连接，因此，智能设备便可把按照其所采用的网络传输协议的规范，封装预定的告警信息，向预定的远程接口发出所述的告警信息并被远程服务器或手机之类的移动设备接收处理。通常，采用安全套接字超文本链接传输协议(HTTPS)来传输所述告警信息可以获得较高的安全性。

无论告警信息是通过云端服务器到达手机之类的移动设备，还是直接发送给所述的移动设备，均可以让用户获取智能设备的主系统发生故障的告警信息，该告警信息均可被装配在所述的远程服务器或手机之类的移动设备上的服务进程所识别，该服务进程识别到该告警信息之后，便向位于终端的浏览器或应用程序提供的用户界面提示智能设备主系统故障的信息，并等候用户针对该告警信息发出的用户指令，用户接收到该信息后，通过用户界面提供的功能按键，便可决定是否修复智能设备的第一分区的系统。

步骤S122：当其接收到该远程接口反馈的响应于该告警信息的修复指令后，通过远程接口下载所述的系统固件。

以手机终端为例，当手机上的应用程序收到服务器推送的，或者收到智能设备直接向其推送的所述告警信息之后，解析并识别到该所述智能设备的第一分区的系统发生了故障，于是便启动自身的作业流程，向用户界面弹框提示用户，例如以文字提示“A设备系统故障”，并提供“修复”、“暂缓”两个按键，当用户选中“暂缓”按键时，可后结另行弹框提示；当用户选中“修复”时，则启动修复流程。

移动设备启动其修复流程时，首先获得智能设备的机器信息，由于智能设备通常已经通过同一账户预先关联到该移动设备，其机器信息诸如UUID(用户唯一特征码)、型号、系统版本号等一般已经预存在移动设备中，因而，第二步，移动设备可以将智能设备的信息封装到其下载请求中，发送给云端服务器，以便云端服务器利用这些信息为移动设备提供一个下载地址，移动设备继而便以该地址下载用于修复智能设备的系统固件。当然，这一流程可以进一步简化，例如，移动设备由于自身已知智能设备的机器信息，并且已知系统固件的下载地址，则移动设备直接依该地址下载系统固件即可。移动设备下载系统固件的过程相当灵活，本领域技术人员可以灵活确定。

进一步，移动设备获得所述的系统固件之后，便可以向智能设备推送修复指令，以作为对所述的告警信息的反馈，智能设备接收到所述的修复指令后，便可进一步通过蓝牙、USB、WiFi等任意方式提供的远程接口从移动设备下载所述的系统固件。该系统固件因为通常较小，因此在其接收过程中，可以直接暂存于智能设备的内存。通常，由于智能设备与移动设备均通过同一账户预先绑定，因而这一修复指令与告警信息同理，被以安全套接字超文本传输协议所规范的数据报文所封装。

在本发明的其他实施例中，这一过程可以进一步被简化，具体而言，移动设备可以不自行下载所述的系统固件，而是在智能设备接收到移动设备的修复指令后，由智能设备通过其数据区预存的下载地址，通过互联网提供的远程接口自行下载所述的系统固件到本机内存中，实现所述系统固件的下载。

步骤S123：系统固件下载完成后，将该系统固件安装到所述的第一分区。

当所述系统固件被所述的移动设备推送到智能设备的本机内存或者被智能设备自行下载到本机内存后，如本发明优选的Squash文件系统，被压缩一个文件。为了继续整个修复过程，智能设备继而将该压缩文件复制到所述的第一分区，当该Squash文件被写入所述的第一分区之后，便完成了对主系统的写入操作。需要注意的是，对于部分自定的操作系统，也可以是在内存中执行一个解压缩到所述第一分区的过程，以实现系统安装。

在某些实施例中，智能设备可以完全不需要移动设备的参与，当其第二分区的系统识别到第一分区的安全标识崩溃需要修复时，即直接从其闪存介质数据区中获取相应的下载地址，通过该下载地址下载所述的系统固件并重新写入所述的第一分区即可。

通过上述实现系统重装的过程的多种变化实例的提示，可以知晓，本发明的智能设备拥有更为智能的交互方案，当其识别到自身的第一分区的主系统故障时，可以通过外部设备实现更良好的人机交互，向用户报告故障，并等候用户的修复指令；或者也可尝试自行修复系统故障，而不需人工干预。然而，这一过程仅仅是完成了第一分区的主系统的数据上的重写，而对于整个系统的修复而言，尚需后续步骤的配置。

因此，进一步，本发明的智能设备系统灾备控制方法还包括：

步骤S13：重装完成后重写所述闪存介质第一分区特定存储位置以修复所述的安全标识。

如前所述，智能设备的引导程序Bootloader每次启动时将自行检测第一分区特定存储位置上的所述的安全标识，而安全标识在该分区每次被重写时，又可能会被擦除，因此，如果不修复该安全标识，即使重写了第一分区的系统固件，也将导致每次重启后无法进入所述的第一分区的主系统。

因此，在所述系统固件被写入所述的第一分区之后，还需要进一步修复所述的安全标识，对应于前述的揭示，只要将所述的安全标识恢复为特定比特串的固有的内容即可，例如，将比特串“10101010”写入第一分区的所述的特定存储位置即可，这样便实现了所述的安全标识的修复。修复这一安全标识之后，智能设备下次重启时，其Bootloader识别到安全标识指示第一分区的系统处于正常状态，便不必跳转启动第二分区的系统，而是直接引起启动第一分区的系统，使智能设备恢复正常的启动流程。

理论上，完成了上述的过程，便完成了对智能设备的第一分区的系统的修复，用户只需手动重启智能设备即可。

但是，用户难以判定智能设备重写第一分区的操作是否完成，因而，在本发明的一种实施例中，可以进一步丰富智能设备的功能，使其具有自动识别修复状态的功能。

为此，请参阅图3揭示的另一实施例，本发明的智能设备系统灾备控制方法还包括：

步骤S14：重启该智能设备以启动所述闪存介质第一分区的系统。

重启智能设备的过程，应当发生在所述系统固件已经写入第一分区，而所述安全标识已经成功修复之后。重启的方式，既可以是由智能设备自动重启，也可以是响应于诸如所述的移动设备之类的外部指令而产生的重启。

对于自动重启的方式，智能设备自身在执行了重写系统固件和修复安全标识之后，直接发送重启指令即可令自身重启。对于响应于外部指令的方式，可以由智能设备的备份系统通过远程接口向移动设备推送一个通知信息，而移动设备接收到该通知信息之后，显示到用户界面，由用户发送一个指示重启的指令，移动设备再依据这一重启指令通知到智能设备，智能设备再据此执行重启的动作。

可以知晓，无论是自动重启，还是接收用户指令而重启，智能设备在后续重启时，其引导程序将识别到指令第一分区主系统正常的安全标识，而不再引导启动第二分区的备份系统，而是正常引导启动第一分区的主系统，最终完成第一分区的系统的整个启动过程，进入正常工作状态，完成整个修复过程。

基于模块化思维，可以在前述的方法的基础上进一步提供一种智能设备，请参阅图4，该智能设备包括检测单元11、重装单元12以及修复单元13，在进一步的提供的一个改进实施例中，还包括一重启单元14(结合图6)。以下详细提示各个单元所实现的功能。

所述的检测单元11，用于在启动智能设备时检测闪存介质第一分区的特定存储位置的安全标识，当该安全标识指示该分区的系统异常时，跳转启动该闪存介质第二分区的系统。

如前所述，智能设备的闪存介质，在本发明中可被格式化为两个分区，即第一分区和第二分区，进一步还可以格式化出一个用于存储数据的数据分区。其中的第一分区和第二分区，均安装有操作系统。通常情况下，智能设备出厂时，第一分区和第二分区便被同一系统固件安装其中，这种情况下两个分区的操作系统便是同一版本的。在智能设备使用的过程中，第一分区的操作系统可能不断被新版本的系统固件升级，而第二分区可以保持不升级的原始状态，由此便使两个分区的操作系统体现为不同版本的系统固件安装而得的系统，然而这只是系统版本的不同，不足以构成不同操作系统，本领域技术人员应当知晓。

本发明为了方便进行故障检测，在闪存介质的第一分区规定一个特定存储位置，例如前述的NAND型闪存介质的一个特定区块(或者NOR型闪存的一个或多个字节)，该特定存储位置用于存储一个安全标识。这个安全标识可以是规范了的比特串，例如一个单字节8位的比特串“10101010”，比特串的具体内容可以随意约定。

系统出厂时，在完成了系统安装之后，写入上述的安全标识。而在后续每次对第一分区的系统进行升级时，依据上述揭示的闪存原理，首先要擦除系统所占区块的数据，然后写入包含系统升级版本的系统固件。如果升级过程中，无论是擦除阶段，还是重写阶段，一旦出现断电，整个第一分区的系统必然故障。一种实施方式中，在擦除阶段，整个第一分区的数据被擦除重写，这时连同所述的安全标识也被擦除，重写入系统固件完成系统升级之后，本发明便向所述的特定存储位置重写入所述的安全标识。由此可见，该安全标识可以指示整个升级过程是否正常，从而可用于指示第一分区的系统是否异常。另一种实施方式中，在擦除阶段，不擦除所述特定存储位置的安全标识，而是修改其内容，例如修改为全零：“00000000”，当第一分区的系统完成重装之后，再修复该安全标识的内容为“10101010”，这种方式起到的效果与前例相同。这两种用于实现安全标识的方式，均无碍于本发明的实施，并且，均可起到分区校验的作用。

依据上述原理，本发明的智能设备启动时，在智能设备的引导程序Bootloader执行引导的过程中，通过一检测单元11首先检测第一分区的所述特定存储位置的安全标识是否为预先约定的特定比特串，例如前述的“10101010”，如果是，则认定该安全标识指示第一分区的系统处于正常状态，引导并启动该第一分区的系统；如果该比特串不存在，或者是全零，或者其它内容，那么，表明第一分区在上次升级过程中重写安全标识之后，可能因断电未能走完整个升级流程，系统安装不完全，出现故障，不是处于正常状态，不可直接使用，由此便需跳转启动该闪存介质第二分区的系统，Bootloader于是跳转执行所述的第二分区预装的备份系统。

所述的重装单元12，用于在第二分区的系统完成启动后远程获取系统固件，将其安装到所述闪存介质第一分区以完成系统重装。

第二分区的备份系统完成启动后，便为智能设备的维护提供了技术支撑，智能设备由此可以接入网络，或者与其他移动设备建立直连，从而可以受控执行相应的维护工作。本重装单元12如图5所示，具体包括告警模块121、下载模块122以及安装模块123，各个模块以其所实现的功能相互配置实现重装单元12所实现的功能，各模块的功能如下：

所述的告警模块121，用于在所述第二分区的系统完成启动后，通过所述远程接口发送告警信息。

当智能设备引导程序Bootloader引导第二分区启动备份系统之后，按照系统默认的操作流程，一种实施方式中，可以对所述的安全标识进行检测，同理可以通过比较该安全标识是否为预定的特定比特串而确认第一分区的系统处于异常状态，通常这种情况下，备份系统将获得肯定的结果，确认系统异常，由此便可继续其后续的程序，发出所述的告警信息。另一种实施方式中，备份系统也可以通过其它系统参数来确认第一分区的系统是否正常，例如通过同一账户的云端记载的系统版本数据来与自身的版本号相比较，确认并非自身版本号时，推测第一分区系统可能故障等。总之，在第二分区的系统完成启动之后，可以实现与第一分区的系统的底层驱动、顶层应用等相同的功能，除此之外，第二分区的系统适宜进一步确认第一分区的系统是否正常，在确认第一分区的系统异常时，发出所述的告警信息。

所述的告警信息的发出，是基于智能设备在第二分区的备份系统完成启动后接入了网络或者直连移动设备而实现的。通常，智能设备第一分区的系统在正常使用过程中，在所述的数据分区中记载了用于接入网络的配置信息，例如用于接入某个WiFi接入点的服务集标识(SSID)及其相应的密码，故而第二分区的系统启动后，可以共用这一配置信息，利用这一配置信息实现网络接入，使智能设备得以直接与云端通信，用户可以通过计算机终端上的浏览器，基于安全套接字超文本链接封装的数据报文与智能设备第二分区的系统进行通信，从而方便维护。

又如，智能设备支持蓝牙通信，其与手机之类的移动设备之间能够主动或被动地建立直连通道，相应的配置信息同理也被存储于所述的数据区中，手机同时又通过WiFi或GPRS、3G、4G等途径接入了互联网，则手机便可起到沟通智能设备与云端服务器的作用。

鉴于第二分区的系统启动完成后能够接入网络，与远程服务器或手机之类的移动设备建立连接，因此，智能设备的告警模块121便可把按照其所采用的网络传输协议的规范，封装预定的告警信息，向预定的远程接口发出所述的告警信息并被远程服务器或手机之类的移动设备接收处理。通常，采用安全套接字超文本链接传输协议(HTTPS)来传输所述告警信息可以获得较高的安全性。

无论告警信息是通过云端服务器到达手机之类的移动设备，还是直接发送给所述的移动设备，均可以让用户获取智能设备的主系统发生故障的告警信息，该告警信息均可被装配在所述的远程服务器或手机之类的移动设备上的服务进程所识别，该服务进程识别到该告警信息之后，便向位于终端的浏览器或应用程序提供的用户界面提示智能设备主系统故障的信息，并等候用户针对该告警信息发出的用户指令，用户接收到该信息后，通过用户界面提供的功能按键，便可决定是否修复智能设备的第一分区的系统。

所述的下载模块122，被配置为当其接收到该远程接口反馈的响应于该告警信息的修复指令后，通过远程接口下载所述的系统固件。

以手机终端为例，当手机上的应用程序收到服务器推送的，或者收到智能设备直接向其推送的所述告警信息之后，解析并识别到该所述智能设备的第一分区的系统发生了故障，于是便启动自身的作业流程，向用户界面弹框提示用户，例如以文字提示“A设备系统故障”，并提供“修复”、“暂缓”两个按键，当用户选中“暂缓”按键时，可后结另行弹框提示；当用户选中“修复”时，则启动修复流程。

移动设备启动其修复流程时，首先获得智能设备的机器信息，由于智能设备通常已经通过同一账户预先关联到该移动设备，其机器信息诸如UUID(用户唯一特征码)、型号、系统版本号等一般已经预存在移动设备中，因而，第二步，移动设备可以将智能设备的信息封装到其下载请求中，发送给云端服务器，以便云端服务器利用这些信息为移动设备提供一个下载地址，移动设备继而便以该地址下载用于修复智能设备的系统固件。当然，这一流程可以进一步简化，例如，移动设备由于自身已知智能设备的机器信息，并且已知系统固件的下载地址，则移动设备直接依该地址下载系统固件即可。移动设备下载系统固件的过程相当灵活，本领域技术人员可以灵活确定。

进一步，移动设备获得所述的系统固件之后，便可以向智能设备推送修复指令，以作为对所述的告警信息的反馈，智能设备接收到所述的修复指令后，便可通过下载模块122进一步通过蓝牙、USB、WiFi等任意方式提供的远程接口从移动设备下载所述的系统固件。该系统固件因为通常较小，因此在其接收过程中，可以直接暂存于智能设备的内存。通常，由于智能设备与移动设备均通过同一账户预先绑定，因而这一修复指令与告警信息同理，被以安全套接字超文本传输协议所规范的数据报文所封装。

在本发明的其他实施例中，这一过程可以进一步被简化，具体而言，移动设备可以不自行下载所述的系统固件，而是在智能设备接收到移动设备的修复指令后，由智能设备的下载模块122通过数据区预存的下载地址，通过互联网提供的远程接口自行下载所述的系统固件到本机内存中，实现所述系统固件的下载。

所述的安装模块123，用于在系统固件下载完成后，将该系统固件安装到所述的第一分区。

当所述系统固件被所述的移动设备推送到智能设备的本机内存或者被智能设备自行下载到本机内存后，如本发明优选的Squash文件系统，被压缩一个文件。为了继续整个修复过程，智能设备的安装模块123继而将该压缩文件复制到所述的第一分区，当该Squash文件被写入所述的第一分区之后，便完成了对主系统的写入操作。需要注意的是，对于部分自定的操作系统，也可以是在内存中执行一个解压缩到所述第一分区的过程，以实现系统安装。

在某些实施例中，智能设备可以完全不需要移动设备的参与，当其第二分区的系统识别到第一分区的安全标识崩溃需要修复时，即直接从其闪存介质数据区中获取相应的下载地址，通过该下载地址下载所述的系统固件并重新写入所述的第一分区即可。

通过上述实现系统重装的过程的多种变化实例的提示，可以知晓，本发明的智能设备拥有更为智能的交互方案，当其识别到自身的第一分区的主系统故障时，可以通过外部设备实现更良好的人机交互，向用户报告故障，并等候用户的修复指令；或者也可尝试自行修复系统故障，而不需人工干预。然而，这一过程仅仅是完成了第一分区的主系统的数据上的重写，而对于整个系统的修复而言，尚需修复单元13的参与。

所述的修复单元13，用于在重装完成后重写所述闪存介质第一分区特定存储位置以修复所述的安全标识。

如前所述，智能设备的引导程序Bootloader每次启动时将自行检测第一分区特定存储位置上的所述的安全标识，而安全标识在该分区每次被重写时，又可能会被擦除，因此，如果不修复该安全标识，即使重写了第一分区的系统固件，也将导致每次重启后无法进入所述的第一分区的主系统。

因此，在所述系统固件被写入所述的第一分区之后，还需要通过修复单元13进一步修复所述的安全标识，对应于前述的揭示，只要将所述的安全标识恢复为特定比特串的固有的内容即可，例如，将比特串“10101010”写入第一分区的所述的特定存储位置即可，这样便实现了所述的安全标识的修复。修复这一安全标识之后，智能设备下次重启时，其Bootloader识别到安全标识指示第一分区的系统处于正常状态，便不必跳转启动第二分区的系统，而是直接引起启动第一分区的系统，使智能设备恢复正常的启动流程。

理论上，完成了上述的过程，便完成了对智能设备的第一分区的系统的修复，用户只需手动重启智能设备即可。

但是，用户难以判定智能设备重写第一分区的操作是否完成，因而，在本发明的一种实施例中，可以进一步丰富智能设备的功能，使其具有自动识别修复状态的功能。

为此，请参阅图6，本发明的智能设备在其另一实施例中配备所述的重启单元14。

所述的重启单元14，用于在重启该智能设备以启动所述闪存介质第一分区的系统。

重启智能设备的过程，应当发生在所述系统固件已经写入第一分区，而所述安全标识已经成功修复之后。重启的方式，既可以是由智能设备自动重启，也可以是响应于诸如所述的移动设备之类的外部指令而产生的重启。

对于自动重启的方式，智能设备自身在执行了重写系统固件和修复安全标识之后，由重启单元14直接发送重启指令即可令自身重启。对于响应于外部指令的方式，可以由智能设备的备份系统构造的重启单元14通过远程接口向移动设备推送一个通知信息，而移动设备接收到该通知信息之后，显示到用户界面，由用户发送一个指示重启的指令，移动设备再依据这一重启指令通知到智能设备，智能设备再据此执行重启的动作。

可以知晓，无论是自动重启，还是接收用户指令而重启，智能设备在后续重启时，其引导程序将识别到指令第一分区主系统正常的安全标识，而不再引导启动第二分区的备份系统，而是正常引导启动第一分区的主系统，最终完成第一分区的系统的整个启动过程，进入正常工作状态，完成整个修复过程。

在本发明的一个应用场景中，一台已经与某台手机通过同一用户账户实现绑定的智能设备在其升级过程中，突然掉电，导致升级过程未能完成，显然其中的系统文件未完全写入相应的分区，并且该分区的安全标识显然处于非正常状态。

重新接通该智能设备的电源之后，智能设备通过其引导程序检测该系统分区的安全标识，发现存在错误，便会跳转启动另一分区的备份系统。当智能设备完成备份系统的启动之后，将向该手机推送告警信息，手机收到该告警信息之后，通知用户。与此同时，手机可能完成了用于修复智能设备的主系统的系统固件的下载。

当用户确定修复智能设备时，通过手机用户界面发送修复指令。手机用户界面于是向智能设备发送修复指令并推送相应的系统固件，智能设备在接收到系统固件之后，便自行重写其主分区的系统文件，并将所述的安全标识修复到正常状态。

当智能设备完成上述的修复过程之后，其备份系统进一步向手机推送通知信息，用户通过用户界面掌握了智能设备的修复进展之后，点击确认，手机进一步向智能设备回复相应的确认指令，智能设备据此即自行重启。

智能设备重启之后，不再进入所述的备份系统，而是在识别到所述安全标识处于正常状态后，引导启动所述的主系统，必要时，在主系统重启后，可能需要重新进行系统设置，特别是某些在数据区被擦除或不可用的情况下时。

综上所述，本发明为智能设备实现了系统的灾备防控手段，使得智能设备的运行更为安全，维护更为简便，有利于延长智能设备的使用寿命。

以上所述仅是本发明的部分实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (10)

1.一种智能设备系统灾备控制方法，其特征在于，包括如下步骤：

启动智能设备，检测到其闪存介质第一分区的特定存储位置的安全标识指示该分区的系统异常时，跳转启动该闪存介质第二分区的系统；

第二分区的系统完成启动后远程获取系统固件，将其安装到所述闪存介质第一分区以完成系统重装；

重装完成后重写所述闪存介质第一分区特定存储位置以修复所述的安全标识。

2.根据权利要求1所述的方法，其特征在于，所述闪存介质第一分区特定存储位置的安全标识被擦除或非为特定比特串时，判定该分区的系统异常。

3.根据权利要求1所述的方法，其特征在于，所述闪存介质的第一分区与第二分区的系统，由同一系统的相同或不同版本的系统固件安装而得。

4.根据权利要求1所述的方法，其特征在于，所述第二分区的重装过程包括如下具体步骤：

所述第二分区的系统完成启动后，通过所述远程接口发送告警信息；

当其接收到该远程接口反馈的响应于该告警信息的修复指令后，通过远程接口下载所述的系统固件；

系统固件下载完成后，将该系统固件安装到所述的第一分区。

5.根据权利要求4所述的方法，其特征在于，所述的远程接口为基于蓝牙、WiFi相关协议所规范的远程接口。

6.根据权利要求4所述的方法，其特征在于，所述远程接口的对应端为移动设备或云端服务器。

7.根据权利要求4所述的方法，其特征在于，所述第二分区的系统完成启动后，先检测所述第一分区特定存储位置的安全标识确认其表征该分区的系统异常之后，才通过所述远程接口发送所述告警信息。

8.根据权利要求1所述的方法，其特征在于，通过远程接口所传输的信息或指令以安全套接字超文本链接协议所规范的数据报文进行封装。

9.根据权利要求1所述的方法，其特征在于，还包括后续步骤：重启该智能设备以启动所述闪存介质第一分区的系统。

10.一种智能设备，其特征在于，包括：

检测单元，用于在启动智能设备时检测闪存介质第一分区的特定存储位置的安全标识，当该安全标识指示该分区的系统异常时，跳转启动该闪存介质第二分区的系统；

重装单元，用于在第二分区的系统完成启动后远程获取系统固件，将其安装到所述闪存介质第一分区以完成系统重装；

修复单元，用于在重装完成后重写所述闪存介质第一分区特定存储位置以修复所述的安全标识。