CN117873676A - 控制系统的启动方法、装置、控制系统及计算机程序产品 - Google Patents

Abstract

本公开提供了一种控制系统的启动方法、装置、控制系统及计算机程序产品，控制系统中安装有第一操作系统和第二操作系统，第二操作系统是第一操作系统的备份，控制系统具有多对地址空间，每对地址空间包括分别对应于第一操作系统和第二操作系统的两个一一对应的地址空间，每对地址空间中所存储的文件相同；该方法包括：在第一启动事件发生的情况下，加载第一组地址空间；其中，第一组地址空间包括每一对地址空间中的一个；在第一组地址空间中的第一地址空间加载失败的情况下，重新加载第二组地址空间，其中，第二组地址空间是第一组地址空间中除第一地址空间以外的地址空间、以及与第一地址空间一一对应的第二地址空间。

Description

控制系统的启动方法、装置、控制系统及计算机程序产品

技术领域

本公开涉及嵌入式系统技术领域，更具体地，涉及一种控制系统的启动方法、装置、控制系统及计算机程序产品。

背景技术

目前linux系统已应用在很多车载系统中，为了保证车载系统的稳定性，通常会采用双系统方案，即车载系统中存在A、B两个操作系统，同时每个系统下都存在相应的kernel、Rootfs、App等地址空间。

在现有技术中，当第一操作系统的任一个地址空间损坏时，会切换至第二操作系统，保证系统功能正常使用。而且，对应每个系统下的地址空间都是捆绑在一起加载的，即第一操作系统启动时，只会加载对应于第一操作系统的地址空间，不会与对应于第二操作系统的地址空间交叉匹配使用。

可见，在对应于第一操作系统的某一个地址空间损坏后，是将第一操作系统切换至第二操作系统，并将对应于第一操作系统的地址空间全部切换为对应于第二操作系统的地址空间。

而且，在地址空间进行升级时，可能只会对对应于一个操作系统的某一个地址空间进行升级，导致切换至另一个操作系统时，不管对应于另一个操作系统的地址空间是否经过升级，都会被捆绑切换。此外，当某一个地址空间损坏后，只是将操作系统切换至备份操作系统，不会对损坏的地址空间进行修复，系统进行升级后也不会将未升级地址空间同步至最新版本，可能会导致某些功能不可用，影响用户体验。

发明内容

本公开的一个目的是提供一种启动控制系统的新技术方案。

根据本公开的第一方面，提供了一种控制系统的启动方法，所述控制系统中安装有第一操作系统和第二操作系统，所述第二操作系统是所述第一操作系统的备份，所述控制系统具有多对地址空间，每对地址空间包括分别对应于所述第一操作系统和所述第二操作系统的两个一一对应的地址空间，每对地址空间中所存储的文件相同；所述方法包括：

在第一启动事件发生的情况下，加载第一组地址空间；其中，所述第一组地址空间包括每一对地址空间中的一个；

在所述第一组地址空间中的第一地址空间加载失败的情况下，重新加载第二组地址空间，其中，所述第二组地址空间是所述第一组地址空间中除所述第一地址空间以外的地址空间、以及与所述第一地址空间一一对应的第二地址空间，所述第一地址空间和所述第二地址空间为一对地址空间中对应于不同操作系统的两个地址空间。

可选的，所述加载第一组地址空间，包括：

获取第一标识列表，其中，所述第一标识列表包括所述第一组地址空间中各地址空间的标识；

加载所述第一标识列表中的标识所对应的地址空间。

可选的，所述在所述第一组地址空间中的第一地址空间加载失败的情况下，重新加载第二组地址空间，包括：

在所述第一地址空间加载失败的情况下，根据所述第一地址空间的标识更新所述第一标识列表，以将所述第一标识列表中所述第一地址空间的标识，替换为所述第二地址空间的标识；

重新加载更新后的第一标识列表中的标识所对应的地址空间。

可选的，所述方法还包括：

在所述控制系统处于启动状态的情况下，接收目标类型的升级数据；

根据所述升级数据对第三地址空间进行升级，所述第三地址空间为本次未加载的、与所述目标类型对应的地址空间；

更新所述第一标识列表，将所述第一标识列表中与所述第三地址空间一一对应的第四地址空间的标识替换为所述第三地址空间的标识，所述第四地址空间与所述第三地址空间为一对地址空间中对应于不同操作系统的两个地址空间。

可选的，所述方法还包括：

在第二启动事件发生的情况下，获取第二标识列表，其中，所述第二标识列表包括目标地址空间的标识，所述目标地址空间为第一地址空间或第四地址空间；

对所述第二标识列表中的标识所对应的目标地址空间进行同步。

可选的，所述对所述第二标识列表中的标识所对应的目标地址空间进行同步，包括：

将所述目标地址空间中的数据，替换为与所述目标地址空间一一对应的地址空间中的数据。

可选的，所述方法还包括：

在对所述第二标识列表中的标识所对应的目标地址空间同步完成的情况下，清空所述第二标识列表。

可选的，所述方法还包括：

在所述第一地址空间加载失败的情况下向云端发送第一错误信息，或者，在第三地址空间升级完成的情况下向云端发送第二错误信息，以使云端根据所述第一错误信息或所述第二错误信息控制所述控制系统同步两个操作系统。

根据本公开的第二方面，提供了一种控制系统的启动装置，所述控制系统中安装有第一操作系统和第二操作系统，所述第二操作系统是所述第一操作系统的备份，所述控制系统具有多对地址空间，每对地址空间包括分别对应于所述第一操作系统和所述第二操作系统的两个一一对应的地址空间，每对地址空间中所存储的文件相同；所述装置包括：

第一加载模块，用于在第一启动事件发生的情况下，加载第一组地址空间；其中，所述第一组地址空间包括每一对地址空间中的一个；

第二加载模块，用于在所述第一组地址空间中的第一地址空间加载失败的情况下，重新加载第二组地址空间，其中，所述第二组地址空间是所述第一组地址空间中除所述第一地址空间以外的地址空间、以及与所述第一地址空间一一对应的第二地址空间，所述第一地址空间和所述第二地址空间为一对地址空间中对应于不同操作系统的两个地址空间。

根据本公开的第三方面，提供了一种控制系统，所述控制系统包括处理器和存储器，所述存储器存储可在所述处理器上运行的程序或指令，所述程序或指令被所述处理器执行时实现如本公开第一方面所述的方法的步骤。

根据本公开的第四方面，提供了一种计算机程序产品，包括计算机程序/指令，当所述计算机程序/指令处理器被执行时实现如本公开第一方面所述的方法。

在对应于第一操作系统的第一地址空间加载失败的情况下，如果将第一操作系统切换至第二操作系统，即重新加载对应于第二操作系统的所有地址空间，而对应于第二操作系统、除第二地址空间以外的地址空间也加载失败，则会导致控制系统无法正常启动。

通过本公开的实施例，在对应于第一操作系统的第一地址空间加载失败的情况下，仅将第一地址空间切换至与第一地址空间一一对应的、对应于第二操作系统的第二地址空间，无需将对应于第一操作系统的所有地址空间全部切换至对应于第二操作系统的地址空间，可以实现对应于不同操作系统的各地址空间的拆分匹配，那么，在多对地址空间中的一个均出现错误的情况下，控制系统仍然可以正常启动，进而可以提高控制系统的可靠性和鲁棒性。

通过以下参照附图对本公开的示例性实施例的详细描述，本公开的其它驾驶特征及其优点将会变得清楚。

附图说明

被结合在说明书中并构成说明书的一部分的附图示出了本公开的实施例，并且连同其说明一起用于解释本公开的原理。

图1是本公开实施例提供的一种控制系统的启动方法的流程图；

图2是本公开实施例提供的一种控制系统的启动方法的一个例子的流程图；

图3是本公开实施例提供的一种控制系统的启动装置的框图；

图4是本公开实施例提供的一种控制系统的框图。

具体实施方式

现在将参照附图来详细描述本公开的各种示例性实施例。应注意到：除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对布置、数字表达式和数值不限制本公开的范围。

以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本公开及其应用或使用的任何限制。

对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为说明书的一部分。

在这里示出和讨论的所有例子中，任何具体值应被解释为仅仅是示例性的，而不是作为限制。因此，示例性实施例的其它例子可以具有不同的值。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。

在控制系统中，通常安装有Linux操作系统。在控制系统上电的情况下，控制系统的操作系统在启动之前，控制系统的硬件需要进行初始化，包括CPU、内存、总线、外设等。当电源被打开后，CPU开始执行复位向量(Reset Vector)中的指令，这个复位向量通常是一个硬件固件中的地址，指向一个固定的内存地址，然后CPU开始从这个地址读取执行指令。通常情况下，CPU在执行复位向量之前需要进行硬件初始化，例如初始化时钟、内存控制器等。

当硬件初始化完成后，引导加载程序开始启动。引导加载程序通常是位于系统的非易失性存储器(例如闪存、ROM(Read-Only Memory，只读存储器)等)中的一段代码，加载存储设备(如硬盘、NFS(Network File System，网络文件系统)、SD(Secure Digital，安全数字)卡等)的kernel地址空间所存储的内核镜像(内核镜像是包含操作系统核心的一个二进制文件)到内存中，并跳转到内核的起始位置开始执行。

内核是操作系统的核心，控制着系统硬件和软件的运行。它提供了各种系统服务和资源管理功能，如进程管理、内存管理、设备驱动程序、文件系统等。

内核启动后，它首先会初始化硬件设备，包括CPU、内存、总线、外设等。然后，内核会加载Rootfs地址空间内所存储的根文件系统。再然后，内核会创建init进程并加载App地址空间内所存储的用户空间程序，init进程是所有进程的父进程。此时，用户空间程序开始运行，内核变成了用户空间程序的服务提供者，为用户程序提供系统调用等服务。

根文件系统包含操作系统的所有文件和目录，以及其他必需的资源和配置文件。

用户空间程序是指在Linux操作系统中运行的所有应用程序和进程，例如Shell、应用程序、服务进程等。用户空间程序的启动一般由init进程控制。init进程是所有进程的父进程，它负责启动和管理所有其他进程。当内核启动完成后，init进程会通过读取配置文件(如/etc/inittab和/etc/init.d/rc.sysinit)来启动用户空间程序。init进程会根据配置文件中的信息，启动一系列用户空间程序和服务，例如网络服务、系统日志服务、文件共享服务等。

在用户空间程序启动后，系统进入了正常工作状态，控制系统可以通过Shell或其他应用程序来执行各种任务。

可以理解的是，加载任一个地址空间，可以包括读取对应地址空间中的文件、将其拷贝到内存中，并执行该文件。

由此可见，kernel地址空间加载完成的情况下，Rootfs地址空间再加载；在Rootfs地址空间加载完成的情况下，App地址空间再加载；App地址空间加载完成的情况下，操作系统启动成功。在kernel地址空间加载失败的情况下，Rootfs地址空间和App地址空间均无法加载，并导致操作系统启动失败；在Rootfs地址空间加载失败的情况下，App地址空间无法加载，并导致操作系统启动失败；在App地址空间加载失败的情况下，也导致操作系统启动失败。

此外，一个地址空间中所存储的文件读取失败、或者复制至内存中失败、或者运行失败，都将导致该地址空间加载失败。

在本实施例中，控制系统中可以安装有第一操作系统和第二操作系统，第二操作系统是第一操作系统的备份，且控制系统具有多对一一对应的地址空间，每对地址空间包括分别对应于所述第一操作系统和所述第二操作系统的两个一一对应的地址空间，每对一一对应的地址空间中所存储的内容相同。

在对应于第一操作系统的第一地址空间加载失败的情况下，如果将第一操作系统切换至第二操作系统，即重新加载对应于第二操作系统的所有地址空间，而对应于第二操作系统、除第二地址空间以外的地址空间也加载失败，则会导致控制系统的操作系统均启动失败。

在本实施例中，在对应于第一操作系统的第一地址空间加载失败的情况下，仅将第一地址空间切换至对应于第二操作系统的第二地址空间，第二地址空间与对应于第一操作系统的除第一地址空间以外的地址空间也可以组合成一个虚拟的操作系统继续工作，而无需将对应于第一操作系统的所有地址空间全部切换至对应于第二操作系统的地址空间。这样，可以实现对应于不同操作系统的各地址空间的拆分匹配，那么，在对应于不同操作系统的多对地址空间中的一个均出现错误的情况下，控制系统仍然可以正常启动，进而可以提高控制系统的可靠性和鲁棒性。

<方法>

本公开提供了一种控制系统的启动方法，该方法可以应用于控制系统。在一个例子中，该控制系统可以应用于手机、电脑、穿戴设备、智能家居、车辆等电子设备。

具体的，该控制系统中可以是安装有第一操作系统和第二操作系统，第二操作系统是第一操作系统的备份。例如，第一操作系统和第二操作系统可以均为Linux操作系统，也可以均为嵌入式Linux操作系统。

控制系统具有多对一一对应的地址空间，每对地址空间包括分别对应于所述第一操作系统和所述第二操作系统的两个一一对应的地址空间。本实施例中的地址空间，是控制系统的存储器件中系统和应用载体的存放空间。

例如，控制系统中可以设置有一对一一对应的kernel地址空间、一对一一对应的Rootfs地址空间、一对一一对应的App地址空间。一对kernel地址空间包括一个对应于第一操作系统的kernel地址空间和一个对应于第二操作系统的kernel地址空间，一对Rootfs地址空间包括一个对应于第一操作系统的Rootfs地址空间和一个对应于第二操作系统的Rootfs地址空间，一对App地址空间包括一个对应于第一操作系统的App地址空间和一个对应于第二操作系统的App地址空间。对应于第一操作系统的kernel地址空间和对应于第二操作系统的kernel地址空间之间一一对应，对应于第一操作系统的Rootfs地址空间和对应于第二操作系统的Rootfs地址空间之间一一对应，对应于第一操作系统的App地址空间和对应于第二操作系统的App地址空间之间一一对应。一一对应的地址空间中所存储的文件相同。

在一个例子中，该控制系统可以是车辆中的域控制器。

该控制系统的启动方法可以包括如图1所示的步骤S1100～S1200：

步骤S1100，在第一启动事件发生的情况下，加载第一组地址空间，其中，第一组地址空间包括每一对地址空间中的一个。

在本公开的一个实施例中，可以是在车辆启动的情况下，控制系统上电，并启动控制系统的引导加载程序。

引导加载程序启动后，可以是从车辆的控制器中获取该控制系统的启动消息，根据该启动消息确定是否发生第一启动事件。

在一个例子中，在车辆的控制器未接收到云端发送的、用于控制该控制系统启动的指令的情况下，可以根据该启动消息确定第一启动事件发生；在车辆的控制器接收到云端发送的、用于控制该控制系统启动的指令的情况下，可以根据该启动消息确定第二启动事件发生。

在控制系统中可以设置有一对kernel地址空间、一对Rootfs地址空间、一对App地址空间的实施例中，第一组地址空间，可以包括一对kernel地址空间中的一个地址空间，一对Rootfs地址空间中的一个地址空间，和一对App地址空间中的一个地址空间。

例如，第一组地址空间可以包括对应于第一操作系统的kernel地址空间、第一操作系统的App地址空间，或者，第一组地址空间对应于第一操作系统的Rootfs地址空间和对应于可以包括对应于第二操作系统的kernel地址空间、对应于第二操作系统的Rootfs地址空间和对应于第二操作系统的App地址空间，或者，第一组地址空间可以包括对应于第一操作系统的kernel地址空间、对应于第二操作系统的Rootfs地址空间和对应于第一操作系统的App地址空间。

引导加载程序通常是位于系统的非易失性存储器(例如闪存、ROM等)中的一段代码，负责从存储设备(如硬盘、NFS、SD卡等)中读取内核映像文件，将其加载到内存中，并跳转到内核的起始位置开始执行。

在第一组地址空间均加载成功的情况下，控制系统的操作系统则可以启动成功，控制系统可以通过启动的操作系统对外部命令进行响应，在对应的时间里处理问题，协调系统工作。在第一组地址空间的任一个地址空间加载失败的情况下，控制系统的操作系统启动失败。

在本公开的一个实施例中，加载第一组地址空间，可以包括：获取第一标识列表，其中，第一标识列表中包括第一组地址空间中各地址空间的标识；加载第一标识列表中的标识所对应的地址空间。

在本实施例中，第一标识列表可以是预先存储在控制系统的存储器件的第一存储位置上。其中，该存储器件可以是EMMC(Embedded Multi Media Card，嵌入式多媒体卡)。

在此基础上，在引导加载程序的启动过程中，引导加载程序在将启动代码从ROM拷贝到RAM中之前，可以是先从EMMC的第一存储位置上读取本次需要加载的第一组地址空间中各地址空间的标识，根据这些标识依次加载第一组地址空间。

进一步地，本实施例中对应每个操作系统的每个地址空间可以是具有对应的、唯一的标识。例如，对应于第一操作系统的kernel地址空间的标识可以为kernel_A，对应于第二操作系统的kernel地址空间的标识可以为kernel_B，对应于第一操作系统的Rootfs地址空间的标识可以为Rootfs_A，对应于第二操作系统的Rootfs地址空间的标识可以为Rootfs_B，对应于第一操作系统的App地址空间的标识可以为App_A，对应于第二操作系统的App地址空间的标识可以为App_B。

在第一组地址空间包括对应于第一操作系统的kernel地址空间、对应于第二操作系统的Rootfs地址空间和对应于第一操作系统的App地址空间的情况下，第一标识列表中可以包括如下标识：kernel_A、Rootfs_B和App_A。

在本实施例中，通过第一标识列表中的标识来设置第一组地址空间中每个地址空间所对应的操作系统，并根据第一标识列表来加载第一组地址空间，可以便于实现对应于不同操作系统的各地址空间的拆分匹配；此外，还可以使得后续在第一地址空间加载失败的情况下，得到通过更新第一标识列表来得到第二组地址空间，进而实现对应于不同操作系统的单个地址空间的切换。

在一个实施例中，可以是预先设置每个地址空间(kernel地址空间、Rootfs地址空间、App地址空间)的加载顺序，使得各地址空间依次加载。

步骤S1200，在第一组地址空间中第一地址空间加载失败的情况下，重新加载第二组地址空间，其中，第二组地址空间包括第一组地址空间中除第一地址空间以外的地址空间、以及与第一地址空间一一对应的第二地址空间，第一地址空间和第二地址空间为一对地址空间中对应于不同操作系统的两个地址空间。

本实施例中，第一地址空间的数量可以是一个，也可以是多个，在此不做限定。

在第一组地址空间包括对应于第一操作系统的kernel地址空间、对应于第二操作系统的Rootfs地址空间和对应于第一操作系统的App地址空间的情况下，如果加载失败的所述第一地址空间为对应于第一操作系统的kernel地址空间，那么，第二地址空间为对应于第二操作系统的kernel地址空间，第二组地址空间则包括对应于第二操作系统的kernel地址空间、对应于第二操作系统的Rootfs地址空间、对应于第一操作系统的App地址空间；如果加载失败的第一地址空间为对应于第二操作系统的Rootfs地址空间，那么，第二地址空间为对应于第一操作系统的Rootfs地址区间，第二组地址空间则包括对应于第一操作系统的kernel地址空间、对应于第一操作系统的Rootfs地址空间、对应于第一操作系统的App地址空间；如果加载失败的第一地址空间为对应于第一操作系统的App区，那么，第二地址空间为对应于第二操作系统的App区，第二组地址空间则包括对应于第二操作系统的Rootfs地址空间、对应于第一操作系统的kernel地址空间对应于第二操作系统的App地址空间。

在本公开的一个实施例中，在第一地址空间加载失败的情况下，可以是重新加载控制系统的引导加载程序，在重新启动控制系统的引导加载程序的情况下，重新加载第二组地址空间。

进一步地，重新加载第二组地址空间之前，可以卸载第一组地址空间中已经加载的地址空间。

在本实施例中，由于每一对一一对应的地址空间中所存储的启动程序代码相同，因此，在重新启动第二组地址空间，即将第一地址空间加载切换至第二地址空间的情况下，在启动引导加载程序时所执行启动程序代码没有改变，仍可以正常启动控制系统的操作系统。

在对应于第一操作系统的第一地址空间加载失败的情况下，如果将第一操作系统切换至第二操作系统，即重新加载对应于第二操作系统的所有地址空间，而对应于第二操作系统、除第二地址空间以外的地址空间也加载失败，则会导致控制系统无法正常启动。

通过本公开的实施例，在对应于第一操作系统的第一地址空间加载失败的情况下，仅将第一地址空间切换至对应于第二操作系统的第二地址空间，无需将对应于第一操作系统的所有地址空间全部切换至对应于第二操作系统的地址空间，可以实现对应于不同操作系统的各地址空间的拆分匹配，那么，在对应于不同操作系统的多对地址空间中的一个均出现错误的情况下，控制系统仍然可以正常启动，进而可以提高控制系统的可靠性和鲁棒性。

在本公开的一个实施例中，在第一地址空间加载失败的情况下，重新加载第二组地址空间，可以包括：在第一地址空间加载失败的情况下，根据第一地址空间的标识更新第一标识列表，以将第一标识列表中第一地址空间的标识替换为与第一地址空间一一对应的第二地址空间的标识；重新加载更新后的第一标识列表中的标识所对应的地址空间。

在第一组地址空间包括对应于第一操作系统的kernel地址空间、对应于第二操作系统的Rootfs地址空间和对应于第一操作系统的App地址空间的情况下，第一标识列表中可以包括如下标识：kernel_A、Rootfs_B和App_A。在第一地址空间为对应于第一操作系统的kernel地址空间的情况下，更新后的第一标识列表中可以包括如下标识：kernel_B、Rootfs_B和App_A，那么，重新加载第二组地址空间，可以是重新加载对应于第二操作系统的kernel地址空间、对应于第二操作系统的Rootfs地址空间和对应于第一操作系统的App地址空间；在第一地址空间为对应于第二操作系统的Rootfs地址空间的情况下，更新后的第一标识列表中可以包括如下标识：kernel_A、Rootfs_A和App_A，那么，重新加载第二组地址空间，可以是重新加载对应于第一操作系统的kernel地址空间、对应于第一操作系统的Rootfs地址空间和对应于第一操作系统的App地址空间；在第一地址空间为对应于第一操作系统的App地址空间的情况下，更新后的第一标识列表中可以包括如下标识：kernel_A、Rootfs_B和App_B，那么，重新加载第二组地址空间，可以是重新加载对应于第一操作系统的kernel地址空间、对应于第二操作系统的Rootfs地址空间和对应于第二操作系统的App地址空间。

在更新第一标识列表之后，更新后的第一标识列表中的标识则包括第二组地址空间中各地址空间的标识，通过重新加载更新后的第一标识列表中的标识所对应的地址空间，即可以重新加载第二组地址空间。

在本实施例中，在第一地址空间加载失败的情况下更新第一标识列表，通过更新后的第一标识列表中的标识来表示第二组地址空间中每个地址空间所对应的操作系统，并根据更新后的第一标识列表重新加载第二组地址空间，可以是实现对应于不同操作系统的各地址空间的拆分匹配，进而实现对应于不同操作系统的单个地址空间的切换。

在本公开的一个实施例中，该方法还可以包括：在控制系统处于启动状态的情况下，接收目标类型的升级数据；根据升级数据对第三地址空间进行升级；其中，第三地址空间为控制系统本次未加载的、与目标型的对应的地址空间；更新第一标识列表，将第一标识列表中与第三地址空间一一对应的第四地址空间的标识替换为第三地址空间的标识。其中，第四地址空间与第三地址空间为一对地址空间中对应于不同操作系统的两个地址空间。

在本实施例中，升级数据可以是云端下发至控制系统的，也可以是与设置该控制系统的电子设备建立通信连接的其他电子设备发送至控制系统的，在此不做限定。

例如，在控制系统处于启动状态，加载的地址空间包括对应于第一操作系统的kernel地址空间、对应于第二操作系统的Rootfs地址空间和对应于第一操作系统的App地址空间的情况下，如果与目标类型对应的地址空间为kernel地址空间，则可以是根据该升级数据对对应于第二操作系统的kernel地址空间进行升级；如果与目标类型对应的地址空间为Rootfs地址空间，则可以是根据该升级数据对对应于第一操作系统的Rootfs地址空间进行升级；如果与目标类型对应的地址空间为App地址空间，则可以是根据该升级数据对对应于第二操作系统的App地址空间进行升级。

在控制系统本次启动过程中所加载的地址空间包括对应于第一操作系统的kernel地址空间、对应于第二操作系统的Rootfs地址空间和对应于第一操作系统的App地址空间的情况下，第一标识列表中可以包括如下标识：kernel_A、Rootfs_B和App_A。在控制系统本次启动过程中，如果对对应于第二操作系统的kernel地址空间进行升级，可以是将第一标识列表中对应于第一操作系统的kernel地址空间的标识kernel_A，替换为对应于第二操作系统的kernel地址空间的标识kernel_B；如果对对应于第一操作系统的Rootfs地址空间进行升级，可以是将第一标识列表中对应于第二操作系统的Rootfs地址空间的标识Rootfs_B，替换为对应于第一操作系统的Rootfs地址空间的标识Rootfs_A；如果对对应于第二操作系统的App地址空间进行升级，可以是将第一标识列表中对应于第一操作系统的App地址空间的标识App_A，替换为对应于第二操作系统的App地址空间的标识App_B。

在本实施例中，在接收到目标类型的升级数据的情况下，对本次未加载的、与目标类型的对应的第三地址空间进行升级，并更新第一标识列表，可以在下次发生第一启动事件的情况下，加载升级后的第三地址空间，使得运行的操作系统始终为最新版本。

在本公开的一个实施例中，该方法还可以包括：在同步控制系统的地址空间的情况下，获取第二标识列表，其中，第二标识列表包括目标地址空间的标识，目标地址空间为第一地址空间或第四地址空间；对第二标识列表中的标识对对应的目标地址空间进行同步。

可以理解的是，在第一地址空间加载失败的情况下，可以是更新第二标识列表，将第一地址空间的标识写入第二标识列表。

进一步地，在根据升级数据对第三地址空间进行升级的情况下，可以是更新第二标识列表，将第四地址空间的标识写入第二标识列表。

通过本实施例，在第二启动事件发生的情况下，对控制系统的两个操作系统进行同步，可以实现对加载失败的地址空间的修复；在对本次未加载的第三地址空间升级完成的情况下，对控制系统的两个操作系统进行同步，可以实现对应于两个操作系统的地址空间的升级，且升级过程不影响控制系统的正常运行，提高控制系统的可靠性。

可以理解的是，该方法还可以包括：在第一地址空间加载失败的情况下向云端发送第一错误信息，或者，在第三地址空间升级完成的情况下向云端发送第二错误信息。

云端在接收到第一错误信息或第二错误信息的情况下，可以是在设定的空闲时间内，向车辆的控制器发送用于控制该控制系统启动的指令，以控制该控制系统的两个操作系统同步。

车辆的控制器可以是在接收到用于控制该控制系统启动的指令的情况下，控制该控制系统上电，启动控制系统的引导加载程序后，获取到用于确定同步该控制系统的启动消息，根据启动消息确定第二启动事件发生。

其中，设定的空闲时间可以是根据应用场景或具体需求所设定的，也可以是根据用户使用应用该控制系统的电子设备的习惯来确定的。在通常情况下，该控制系统在该设定的空闲时间内处于关机状态。例如，设定的空闲时间可以是凌晨3点。

控制系统向云端发送第一错误信息或第二错误信息，以使云端在设定的空闲时间内控制该控制系统的两个操作系统同步，可以减少对用户的影响，在用户无感知的情况下实现两个操作系统的同步。

在一个例子中，对第二标识列表中的标识所对应的地址空间进行同步，可以包括：将目标地址空间中的数据，替换为与目标地址空间一一对应的地址空间中的数据。

在本实施例中，通过将目标地址空间中的数据，替换为与目标地址空间一一对应的地址空间中的数据，可以实现控制系统中对应于不同操作系统的、一对一一对应的地址空间的同步。

在对第二标识列表中的标识所对应的目标地址空间同步完成的情况下，清空第二标识列表。

具体的，清空第二标识列表，可以是清除第二标识列表中的标识。

本实施例在同步完成的情况下清空第二标识列表，可以避免后续需要同步控制系统的两个操作系统的情况下，出现同步错误的问题。

在本公开的一个实施例中，在对所述第二标识列表中的标识所对应的目标地址空间进行同步的情况下，该方法还可以包括：更新第一标识列表，使得第一标识列表中的标识所对应的地址分区均对应于第一操作系统。

在对应于第一操作系统的kernel地址空间的标识可以为kernel_A，对应于第一操作系统的Rootfs地址空间的标识可以为Rootfs_A，对应于第一操作系统的App地址空间的标识可以为App_A的实施例中，通过更新第一标识列表，可以使得第一标识列表中的标识包括kernel_A、Rootfs_A和App_A。

在一个实施例中，该方法还可以包括：在对第二标识列表中的标识所对应的目标地址空间同步完成的情况下，关闭控制系统。

<例子>

图3为本公开实施例提供的一种控制系统的一个例子的示意图。如图3所示，控制系统在上电的情况下，启动控制系统的引导加载程序，从车辆的控制器中获取该控制系统的启动消息。

在根据该启动消息确定第一启动事件发生的情况下，获取第一标识列表，获取第一标识列表，顺序加载第一标识列表中的标识对应的地址空间，在第一地址空间加载失败的情况下，更新第一标识列表和第二标识列表，向云端发送第一错误信息，并重新启动引导加载程序。更新后的第一标识列表中第一地址空间的标识被替换为与第一地址空间一一对应的第二地址空间的标识，更新后的第二标识列表中增加第一地址空间的标识。

在第一标识列表中的标识对应的地址空间均加载成功的情况下，控制系统处于启动状态，接收目标类型的升级数据，根据升级数据对本次未加载的、与目标类型匹配的第三地址空间进行升级，并更新第一标识列表和第二标识列表。更新后的第一标识列表中与第三地址空间一一对应的第四地址空间的标识被替换为与第三地址空间的标识，更新后的第二标识列表中增加第四地址空间的标识。

在根据启动消息确定第二启动事件发生的情况下，获取第二标识列表，对第二标识列表中的标识对对应的目标地址空间进行同步，在同步后更新第一标识列表、清空第二标识列表并控制该控制系统关机。更新后的第一标识列表中对应第二操作系统的地址空间的标识被替换为一一对应的、对应于第一操作系统的地址空间的标识。

<装置>

本公开还提供了一种控制系统的启动装置，所述控制系统中安装有第一操作系统和第二操作系统，所述第二操作系统是所述第一操作系统的备份，所述控制系统具有多对地址空间，每对地址空间包括分别对应于所述第一操作系统和所述第二操作系统的两个一一对应的地址空间，每对地址空间中所存储的文件相同。

如图3所示，该控制系统的启动装置3000可以包括第一加载模块3100和第二加载模块3200。

第一加载模块3100用于在第一启动事件发生的情况下，加载第一组地址空间；其中，所述第一组地址空间包括每一对地址空间中的一个。

第二加载模块3200用于在所述第一组地址空间中的第一地址空间加载失败的情况下，重新加载第二组地址空间，其中，所述第二组地址空间是所述第一组地址空间中除所述第一地址空间以外的地址空间、以及与所述第一地址空间一一对应的第二地址空间，所述第一地址空间和所述第二地址空间为一对地址空间中对应于不同操作系统的两个地址空间。

在本公开的一个实施例中，第一加载模块3100在加载第一组地址空间时，用于：

获取第一标识列表，其中，所述第一标识列表包括所述第一组地址空间中各地址空间的标识；

加载所述第一标识列表中的标识所对应的地址空间。

在本公开的一个实施例中，第二加载模块3200具体用于：

在所述第一地址空间加载失败的情况下，根据所述第一地址空间的标识更新所述第一标识列表，以将所述第一标识列表中所述第一地址空间的标识，替换为所述第二地址空间的标识；

重新加载更新后的第一标识列表中的标识所对应的地址空间。

在本公开的一个实施例中，所述启动装置3000还包括：

升级数据接收模块，用于在所述控制系统处于启动状态的情况下，接收目标类型的升级数据；

升级模块，用于根据所述升级数据对第三地址空间进行升级，所述第三地址空间为本次未加载的、与所述目标类型对应的地址空间；

更新模块，用于更新所述第一标识列表，将所述第一标识列表中与所述第三地址空间一一对应的第四地址空间的标识替换为所述第三地址空间的标识，所述第四地址空间与所述第三地址空间为一对地址空间中对应于不同操作系统的两个地址空间。

在本公开的一个实施例中，所述启动装置3000还包括：

列表获取模块，用于在第二启动事件发生的情况下，获取第二标识列表，其中，所述第二标识列表包括目标地址空间的标识，所述目标地址空间为第一地址空间或第四地址空间；

同步模块，用于对所述第二标识列表中的标识所对应的目标地址空间进行同步。

在本公开的一个实施例中，所述同步模块具体用于：

将所述目标地址空间中的数据，替换为与所述目标地址空间一一对应的地址空间中的数据。

在本公开的一个实施例中，所述启动装置3000还包括：

清空模块，用于在对所述第二标识列表中的标识所对应的目标地址空间同步完成的情况下，清空所述第二标识列表。

在本公开的一个实施例中，所述启动装置3000还包括：

信息发送模块，用于在所述第一地址空间加载失败的情况下向云端发送第一错误信息，或者，在第三地址空间升级完成的情况下向云端发送第二错误信息，以使云端根据所述第一错误信息或所述第二错误信息控制所述控制系统同步两个操作系统。

<控制系统>

本公开还提供了一种控制系统，如图4所示，该控制系统4000可以包括处理器4100和存储器4200，所述存储器4200存储可在所述处理器上运行的程序或指令，所述程序或指令被所述处理器4100执行时实现如本公开任一实施例所述的控制系统的启动方法的步骤。

本实施例的控制系统4000中可以是设置有两个操作系统，该控制系统4000可以应用于手机、电脑、穿戴设备、智能家居、车辆等电子设备。

<计算机程序产品>

本公开还提供了一种计算机程序产品，该计算机程序产品包括计算机程序/指令，当所述计算机程序/指令处理器被执行时实现如本公开任一实施例所述的控制系统的启动方法的步骤。

本公开可以是系统、方法和/或计算机程序产品。计算机程序产品可以包括计算机可读存储介质，其上载有用于使处理器实现本公开的各个方面的计算机可读程序指令。

计算机可读存储介质可以是可以保持和存储由指令执行设备使用的指令的有形设备。计算机可读存储介质例如可以是――但不限于――电存储设备、磁存储设备、光存储设备、电磁存储设备、半导体存储设备或者上述的任意合适的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、静态随机存取存储器(SRAM)、便携式压缩盘只读存储器(CD-ROM)、数字多功能盘(DVD)、记忆棒、软盘、机械编码设备、例如其上存储有指令的打孔卡或凹槽内凸起结构、以及上述的任意合适的组合。这里所使用的计算机可读存储介质不被解释为瞬时信号本身，诸如无线电波或者其他自由传播的电磁波、通过波导或其他传输媒介传播的电磁波(例如，通过光纤电缆的光脉冲)、或者通过电线传输的电信号。

这里所描述的计算机可读程序指令可以从计算机可读存储介质下载到各个计算/处理设备，或者通过网络、例如因特网、局域网、广域网和/或无线网下载到外部计算机或外部存储设备。网络可以包括铜传输电缆、光纤传输、无线传输、路由器、防火墙、交换机、网关计算机和/或边缘服务器。每个计算/处理设备中的网络适配卡或者网络接口从网络接收计算机可读程序指令，并转发该计算机可读程序指令，以供存储在各个计算/处理设备中的计算机可读存储介质中。

用于执行本公开操作的计算机程序指令可以是汇编指令、指令集架构(ISA)指令、机器指令、机器相关指令、微代码、固件指令、状态设置数据、或者以一种或多种编程语言的任意组合编写的源代码或目标代码，所述编程语言包括面向对象的编程语言—诸如Smalltalk、C++等，以及常规的过程式编程语言—诸如“C”语言或类似的编程语言。计算机可读程序指令可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络—包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。在一些实施例中，通过利用计算机可读程序指令的状态信息来个性化定制电子电路，例如可编程逻辑电路、现场可编程门阵列(FPGA)或可编程逻辑阵列(PLA)，该电子电路可以执行计算机可读程序指令，从而实现本公开的各个方面。

这里参照根据本公开实施例的方法、装置(系统)和计算机程序产品的流程图和/或框图描述了本公开的各个方面。应当理解，流程图和/或框图的每个方框以及流程图和/或框图中各方框的组合，都可以由计算机可读程序指令实现。

这些计算机可读程序指令可以提供给通用计算机、专用计算机或其它可编程数据处理装置的处理器，从而生产出一种机器，使得这些指令在通过计算机或其它可编程数据处理装置的处理器执行时，产生了实现流程图和/或框图中的一个或多个方框中规定的功能/动作的装置。也可以把这些计算机可读程序指令存储在计算机可读存储介质中，这些指令使得计算机、可编程数据处理装置和/或其他设备以特定方式工作，从而，存储有指令的计算机可读介质则包括一个制造品，其包括实现流程图和/或框图中的一个或多个方框中规定的功能/动作的各个方面的指令。

也可以把计算机可读程序指令加载到计算机、其它可编程数据处理装置、或其它设备上，使得在计算机、其它可编程数据处理装置或其它设备上执行一系列操作步骤，以产生计算机实现的过程，从而使得在计算机、其它可编程数据处理装置、或其它设备上执行的指令实现流程图和/或框图中的一个或多个方框中规定的功能/动作。

附图中的流程图和框图显示了根据本公开的多个实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或指令的一部分，所述模块、程序段或指令的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。对于本领域技术人员来说公知的是，通过硬件方式实现、通过软件方式实现以及通过软件和硬件结合的方式实现都是等价的。

以上已经描述了本公开的各实施例，上述说明是示例性的，并非穷尽性的，并且也不限于所披露的各实施例。在不偏离所说明的各实施例的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。本文中所用术语的选择，旨在最好地解释各实施例的原理、实际应用或对市场中的技术的技术改进，或者使本技术领域的其它普通技术人员能理解本文披露的各实施例。本公开的范围由所附权利要求来限定。

Claims (11)

1.一种控制系统的启动方法，其特征在于，所述控制系统中安装有第一操作系统和第二操作系统，所述第二操作系统是所述第一操作系统的备份，所述控制系统具有多对地址空间，每对地址空间包括分别对应于所述第一操作系统和所述第二操作系统的两个一一对应的地址空间，每对地址空间中所存储的文件相同；所述方法包括：

在第一启动事件发生的情况下，加载第一组地址空间；其中，所述第一组地址空间包括每一对地址空间中的一个；

在所述第一组地址空间中的第一地址空间加载失败的情况下，重新加载第二组地址空间，其中，所述第二组地址空间是所述第一组地址空间中除所述第一地址空间以外的地址空间、以及与所述第一地址空间一一对应的第二地址空间，所述第一地址空间和所述第二地址空间为一对地址空间中对应于不同操作系统的两个地址空间。

2.根据权利要求1所述的方法，其特征在于，所述加载第一组地址空间，包括：

获取第一标识列表，其中，所述第一标识列表包括所述第一组地址空间中各地址空间的标识；

加载所述第一标识列表中的标识所对应的地址空间。

3.根据权利要求2所述的方法，其特征在于，所述在所述第一组地址空间中的第一地址空间加载失败的情况下，重新加载第二组地址空间，包括：

在所述第一地址空间加载失败的情况下，根据所述第一地址空间的标识更新所述第一标识列表，以将所述第一标识列表中所述第一地址空间的标识，替换为所述第二地址空间的标识；

重新加载更新后的第一标识列表中的标识所对应的地址空间。

4.根据权利要求2所述的方法，其特征在于，所述方法还包括：

在所述控制系统处于启动状态的情况下，接收目标类型的升级数据；

根据所述升级数据对第三地址空间进行升级，所述第三地址空间为本次未加载的、与所述目标类型对应的地址空间；

更新所述第一标识列表，将所述第一标识列表中与所述第三地址空间一一对应的第四地址空间的标识替换为所述第三地址空间的标识，所述第四地址空间与所述第三地址空间为一对地址空间中对应于不同操作系统的两个地址空间。

5.根据权利要求1或4所述的方法，其特征在于，所述方法还包括：

在第二启动事件发生的情况下，获取第二标识列表，其中，所述第二标识列表包括目标地址空间的标识，所述目标地址空间为第一地址空间或第四地址空间；

对所述第二标识列表中的标识所对应的目标地址空间进行同步。

6.根据权利要求5所述的方法，其特征在于，所述对所述第二标识列表中的标识所对应的目标地址空间进行同步，包括：

将所述目标地址空间中的数据，替换为与所述目标地址空间一一对应的地址空间中的数据。

7.根据权利要求5所述的方法，其特征在于，所述方法还包括：

在对所述第二标识列表中的标识所对应的目标地址空间同步完成的情况下，清空所述第二标识列表。

8.根据权利要求1或4所述的方法，其特征在于，所述方法还包括：

在所述第一地址空间加载失败的情况下向云端发送第一错误信息，或者，在第三地址空间升级完成的情况下向云端发送第二错误信息，以使云端根据所述第一错误信息或所述第二错误信息控制所述控制系统同步两个操作系统。

9.一种控制系统的启动装置，其特征在于，所述控制系统中安装有第一操作系统和第二操作系统，所述第二操作系统是所述第一操作系统的备份，所述控制系统具有多对地址空间，每对地址空间包括分别对应于所述第一操作系统和所述第二操作系统的两个一一对应的地址空间，每对地址空间中所存储的文件相同；所述装置包括：

第一加载模块，用于在第一启动事件发生的情况下，加载第一组地址空间；其中，所述第一组地址空间包括每一对地址空间中的一个；

第二加载模块，用于在所述第一组地址空间中的第一地址空间加载失败的情况下，重新加载第二组地址空间，其中，所述第二组地址空间是所述第一组地址空间中除所述第一地址空间以外的地址空间、以及与所述第一地址空间一一对应的第二地址空间，所述第一地址空间和所述第二地址空间为一对地址空间中对应于不同操作系统的两个地址空间。

10.一种控制系统，其特征在于，所述控制系统包括处理器和存储器，所述存储器存储可在所述处理器上运行的程序或指令，所述程序或指令被所述处理器执行时实现如权利要求1至8任一项所述的方法的步骤。

11.一种计算机程序产品，包括计算机程序/指令，其特征在于，当所述计算机程序/指令处理器被执行时实现如权利要求1至8中任一项所述的方法。