CN1666176A - 软件下载－接收器 - Google Patents

Abstract

该发明涉及一种将软件程序下载到存储器单元的方法。软件程序包括一引导代码和一个应用代码，引导代码允许下载应用代码。存储器单元包括至少一当前引导代码和一当前应用代码。一个方法包括：根据一个下载请求，在一个位置下载一个新的引导代码，它不改写当前引导代码；指示新的引导代码替换当前引导代码；在一个位置下载一个与新的引导代码关联的新的应用代码，它不改写新的引导代码；指示新的应用代码有效。

Description

软件下载一接收器

技术领域

本发明通常涉及传输系统。尤其是，它涉及一种传输系统中将软件程序下载到存储器单元的方法。

本发明也涉及传输系统和所述传输系统的接收器。

它也涉及一种为了实现如上所述的方法的计算机程序产品和携带计算机程序的信号。

本发明适合任何通信系统，包括移动通信系统在内。它特别适合广播系统比如DSS(数字卫星系统)系统和DVB(数字视频广播)系统。

背景技术

引导装配程序(BSLs)被广泛地用于消费产品。它们管理软件应用的下载和允许通过由新的软件应用来替换当前软件应用来容易地升级产品。为了安全，BSLs通常被保存在一保护存储区，在那儿软件在硬件复位以后启动。存储区在工厂被电学保护并且只有硬件干涉才能使其不受到保护。这些BSLs通常致力于一个技术，包括例如特殊传输协议，它没有被标准化，与所用的系统和不得不注意相同协议的一种应用有关系。当改变技术时，为了下载一新的软件应用，因此也必须下载相关的新的BSL。因此当前BSL可能不再使用，虽然它运用保护的存储空间，现在该空间对于应用程序的余下部分是浪费的。此外，新的BSL通常下载到一存储区，它不被保护并且因此可能遭受由例如自愿的或不知不觉的软件擦除引起的损害。

发明内容

本发明的一个目的是提供一种方法，它允许安全地，存储器安全地和有效率地将软件程序下载到接收器，以及因此为终端用户提供更高质量的服务。优选地，本方法允许将包括引导代码(或者引导装配程序)和专用于一种技术(例如，DSS技术)的应用代码(或主应用)的完全嵌入的软件程序用专用于另一种技术(例如，DVB技术)的软件程序替换。上述的技术变换可以指传输技术，例如DVB或DSS，但也可以指传统接入技术和/或广播技术，或者指在全局系统中不兼容的变换。

由此，本发明提出如同开始章节提到的第一个方法，其中软件程序包括引导代码和应用代码，引导代码允许下载应用代码，存储器单元包括至少一个存储的当前软件程序，它包括当前引导代码，本方法包括以下步骤：

-根据一个下载请求，在一个位置下载一个新的引导代码，它不改写当前引导代码；

-指示新的引导代码替换当前引导代码；

-下载一个与一个位置处的新的引导代码有关的新的应用代码，它不改写新的引导代码；

-指示新的应用代码有效。

第一个方法优选地允许重新使用被当前引导代码使用的存储器空间，同时避免在新引导代码被有效下载以前当前引导代码被损坏。

根据本发明的另一个实施例，提出的第二个方法包括以下步骤：

-定义跳到保存有引导代码的存储器单元的位置的启动扇区，以便确认使用所述的引导代码，该启动扇区最初指向第一个位置，在那儿当前引导代码被存储，

-根据下载请求，下载新的软件程序到第二位置，该软件程序包括新的引导代码和新的应用代码，

-跳到存储有新的引导代码的第二位置。

在第二个方法中，操作可以以安全的和存储器安全的方法来实现，优选地包括返回到在前软件的能力，制造商保持忽略第二个技术的可能。更进一步，本方法是存储器高效的，因为用于当前引导代码的存储器空间优选地可以被再次用来存储其他类似数据，例如，新应用代码。

附图说明

参照以下描述的附图，本发明和选择性地用来实施本发明而获得优点的附加的特点是明显的和将得到阐明，其中：

-图1是说明了根据本发明的第一个实施例的第一个方法的一个例子的框图，

-图2是说明了根据本发明的第二个实施例的第二个方法的一个例子的框图，

-图3是说明了根据本发明的系统的一个例子的框图。

具体实施方式

一种技术用来有效率和可靠地将新的软件下载到被称为接收器的家用电器装置的技术将被描述，例如置顶盒或者数字电视。效率是根据执行下载需要的非易失性存储器来估计的；可靠性是根据处理过程对中断的抵抗力估计的。下载可以以不同的方法执行，例如用无线电，通过电报传输，卫星链路，使用本地下载或经由硬件模块，例如卡片，外部设备，等等。

新的软件需要写入持久(非易失性)存储器(例如FLASH存储器)。当用新的软件改写老软件的过程没有完全地结束时，如果处理过程被中断(例如由电力断开)，软件通常不再工作。一个解决方法时避免改写老软件。然而，持久存储器台面面积的尺寸必须足够大来既存入新的又存入旧的软件，那个是没有效率的。

分别参考图1和2，提出和描述了用来将软件编程有效下载到存储器单元的两个方法。将两个方法应用于引导代码和应用代码的软件程序，该引导代码容许将程序代码下载到存储器单元。对于两个方法，假定存储器单元包括至少一个当前(旧的)存储的软件程序，该软件程序包括一当前(旧的)引导代码和一当前(旧的)应用代码。

第一个方法包括下面的步骤：

-根据一个下载请求，在一个位置下载一个新的引导代码，它不改写当前引导代码；

-指示新的引导代码替换当前引导代码；

-指示当前应用代码可以被破坏；

-下载一个与一个位置处的新的引导代码有关的新的应用代码，它不改写新的引导代码；

-指示新的应用代码替换当前应用代码。

第一个方法参考图1用5个步骤的过程更详细地说明，其中信息块表示存储器单元的存储区：

-开始：当前软件被分成两个部分：一个能执行软件下载，称作当前引导代码和表示为CBC，另一个部分补充这功能实现总体应用，称作当前应用代码，表示为CAC。不变的标志，称作″指示符″被使用以及与标志可靠性的功能结合或者不与相应的密码可以在持久性存储器中被发现的该位置结合。一引导代码指示符，表示为BCI，指示那个引导代码可以使用。一个应用代码指示符，表示为ACI，指示那个应用代码可以有效地使用。

-步骤1：在新的软件被下载前，设置ACI标志用来指示当前应用代码可能被破坏。

-步骤2：新的引导代码NBC写入持久性存储器。在该过程中，当前应用代码CAC可能被改写。

-步骤3：在成功地写入新的代码以后，设置BCI标志用来指示从现在开始应该使用新的引导代码NBC而不是使用当前的引导代码CBC。

-步骤4：然后新的应用代码NAC可以写入持久性存储器。

-步骤5：当新的应用代码被成功地写入持久性存储器时，设置一持久性标志用来指示新的应用代码就绪。

步骤2，3和4，任何写入持久性存储器的操作之前临时载入易失性存储器例如RAM(随机存取存储器)，以便检查数据的完整性。

作为一个安全措施，在新的引导代码被改写当前引导代码前，当前引导代码可以被复制(备份)到接收器的持久性存储器的另一个部分，或当新的引导代码被写入以前存储当前引导代码的存储器时，当前引导代码可以被复制到一个替换位置，因此如果该复制新的密码的过程被中断，接收器发觉这个情况并且修复当前引导代码。因为引导代码通常具有与应用代码的尺寸相比非常小的尺寸，并且因为被用于当前引导代码的存储空间能被使来存储新的应用代码，这个安全措施将不包括任何外加存储器空间或者仅仅可能包括很有限的可再次使用的存储空间。

对于在步骤3中的最后的可靠性，有可能使用单个存储位来指示那个新的启动映像是正确的。万一写这个位的过程被中断，它可以读作0或1，但是结果是任意的：两个映像的任何一个是好的。

也可能应用代码可以被分解成多个的部分。如果只有引导代码需要被替换，也许需要用新的引导代码来改写应用代码的若干部分。然后仅仅应用代码的改写部分需要被重新加载。

至于实现，一″flash″文件系统可以有利地用于实现如上所述的方法，用于软件管理。假使那样，管理应用不得不保证它首先使文件系统构造有充分的空间来允许在旧的启动应用被改写以前存储新的启动应用，并保证标志/指示符被可靠地执行，使得如果过程中途停止也不会出现不一致的状态。特别它需要保证文件位置指针可以被″原子地″更新：例如在一个动作中，或使用单个位方法。也可能通过核对根据整个引导代码计算的校验和来检测引导代码是否有效。如果映像部分地被改写，它可能导致无效。然后系统可以寻找一个替换。

最后但并非最不重要的，在一些系统中引导代码在存储器中位于相同位置可能重要或便利，因为在它的位置上可能有约束。在这样的系统，不是将新的引导代码写入另一个位置，而是在复制新的引导代码以前或者在复制新的引导代码期间旧的引导代码可以被移动。万一处理过程被间断，然后装置还可以恢复老的备用的引导代码并且可能在原有位置复制它或者重新开始下载新的引导代码的处理过程。(部分地被写入的)引导代码没有完全的检测通过一″指针″，一″比特″或一″校验和″进行。

第二方法是优选的，当当前引导代码被保存在启动区域，也就是，在一个接近启动地址的位置。然后当用新的引导代码替换当前引导代码时，在写入这个区域期间一个不合时机的停电可以破坏启动区域并且明确地破坏该盒子。避免这个的解决方法，它包括第二个方法，是将在决不会变化的存储器的另一个扇区上启动软件，并且该软件将仅仅作出跳到存储有引导代码的地址上，优选地在一个保护的存储区的决定。在图2中仅仅指出了两个清楚的地址，地址1和地址2，但是可能有更多地址。这是为了安全原因：如果当写时一个不合时机的断电发生，在那里总会有一个正确的的BSL被执行。这个启动扇区不需要许多软件资源。它是一个非常小的应用，不用过载太多全局容量。因为它决不会被擦掉，它甚至可以保存在ROM存储器。在最低限度硬件约束的情况下，启动扇区可以包括专有的本地下载系统，例如通过一串行的连接。

在系统发生变化以前将软件程序下载到接收器的存储器单元的这个第二个方法描述如下。它包括下面的步骤：

-定义启动扇区跳到保存有引导代码的存储器的位置，以便确认使用所述的引导代码，该启动扇区最初指向第一个位置，在那儿当前引导代码被存储，

-根据由于系统的变换而产生的下载请求，下载新的软件程序到第二位置，该软件程序包括新的引导代码和新的应用代码，那意味着在新系统工作，

-跳到存储有新的引导代码的第二位置。

用于当前引导代码的存储空间可以有利地被重新使用，例如用来存储新的应用代码。

在系统，其中重要的是引导代码总是位于相同位置，如上所述的方法用这些步骤完成：

-在第一位置用新的引导代码替换当前引导代码，

-跳到第一个位置。

如上述，启动扇区更好地位于一保护的存储区，它可能位于存储器单元内部或从存储器单元中分离出来。

在第二方法的最优实施例中，引导代码和/或应用代码保存在存储器单元的一个区域，那个区域可以替换地被保护和不被保护地在指定的软件情况下被改写。这个最优实施例利用一持久性存储器的新技术，它允许根据软件指令保护/不保护存储区。

新的软件程序可以包括一个中间应用代码，它是在当前应用代码和新的应用代码之间的链接，能够使得用户将他的接收器参数化成新系统，例如用于改变用户卡，天线，天线指向，用于呼叫一电话中心来确认新业务，等等。

不考虑实施方面，第二方法的最优实施例可以概述如下：

-步骤1：当下载请求被发觉时；当前引导代码BSL1正常地下载包括新的引导代码BSL2的新的应用。

-步骤2：新的引导代码BSL2存储区被保护。

-步骤3：当前引导代码BSL1存储区是不受保护的。从现在开始，启动扇区将跳到新的引导代码BSL2上。

-步骤4：当前引导代码BSL1存储区被擦掉。

-步骤5：正常下载到新的引导代码BSL2可以被请求。

-结束：新的引导代码BSL2根据第二协议装载Appli2；返回正常模式；因此该操作是完全地可逆的。

图2更加详细地说明了第二方法的实施例。信息块表示存储器单元的存储区。当前和新的引导代码分别被表示为BSL1和BSL2。当前和新的应用代码分别被表示为Applil Appli2。启动扇区被表示Boot。该方法包括下面的步骤：

-开始：如果没有下载被请求，启动扇区正常地跳到将跳到当前应用Appli 1的当前引导代码BSL1。

-步骤1：Appli 1发觉一下载请求：它重置该盒子，那个盒子是在正常地下载新的应用的当前引导代码BSL1上启动的，但是事实上它是在将来新的引导代码BSL2和被称为交换Appli的中间正确的应用之间的链接。最后当前引导代码BSL1跳到中间正确的应用交换Appli上。在这个阶段，新的引导代码BSL2只不过被连接到交换Appli，如同应用数据，并且还不具有功能。因此，当前引导代码BSL1直接跳到交换Appli入口点。在新的引导代码BSL2和交换Appli的链接中的点限制了下载数目。

-步骤2：交换Appli保护存储它的存储区。

-步骤3：交换Appli不保护存储BSL1的存储区。从现在开始，在一重置发生以后，启动扇区可能跳到交换Appli。交换Appli可以显示人机接口来警告用户有变化并且可能请求他修改一些系统参数，例如，变化天线方向，为了访问另一个网络输入新的存取码，等等。

-步骤4：交换Appli擦除当前引导代码BSL1并且最后或如果需要，将新的引导代码BSL2写到它的最后位置，例如代替当前引导代码BSL1

-步骤5：交换Appli保护新的引导代码BSL2存储区。因此，从现在开始，启动扇区将跳到新的引导代码BSL2上。

-步骤6：交换Appli不保护存储它的存储区。请求一正常下载到新的引导代码BSL2并且重置该盒子。

-结束：BSL2装载与第二协议相关的Appli2，我们回来到正常模式。

因此，这个操作完全可逆的。

在图2描述的例子中，每次重置时，启动扇区将跳到最高的包含扇区(看图2的箭头)。然而，其他的情况可能被定义。

图3显示一根据本发明的系统，包括发送器31，接收器32和传输信道33，用来根据以前描述的方法中的一个经由传输信道从发送器下载软件到接收器。在一广播系统中的下行链路传输期间，例如，用户设备可能是接收器和基站或服务器可能是发送器。

就广播系统的数字接收器而言，目前存在可以由相同硬件当前支持的2个标准(DVB和DSS)，但是由于软件尺寸的原因，是由专用软件(BSL和应用)支持的。本发明使用一种技术(例如与DSS标准兼容)来实现产品并且保持将来下载一完全不同的技术(例如与DVB标准兼容)的可能性。实现本产品时，包括与当前系统技术初始兼容的软件的接收器的供应者不需知道新系统的规格。

附图和上面对它们的描述不是来限制本发明的。显然存在许多属于后面的权利要求范围的替换。在这方面，描述下列结尾备注。存在多个依靠硬件内容或软件内容或两者混合来实施功能的方法。在这方面，附图是非常图示化的，各个附图仅仅表示一个本发明可能的实施例。因此，虽然一个附图用不同的块来显示不同功能，这个决不排除实现多个功能的单个硬件或软件，也不排除硬件或软件的集合，或两者的结合，实现一个功能。

任何权利要求中的参考数字不应该被看作是限制该权利要求。动词″包含″的使用和它的结合不排除除了存在于权利要求中的以外的单元或步骤的存在。放在一个单元或步骤之前量词″一或一个″的使用不排除多个这样的单元或步骤的存在。

Claims (14)

1.在一传输系统，一种将软件程序下载到存储器单元的方法，该软件程序包括一引导代码和一应用代码在内，该引导代码允许下载应用代码，该存储器单元包括至少一当前引导代码，该方法包括下面的步骤：

-根据一个下载请求，在一个位置下载一个新的引导代码，它不改写当前引导代码；

-指示新的引导代码替换当前引导代码，

-在一个位置下载一个与新的引导代码关联的新的应用代码，它不改写新的引导代码；

-指示新的应用代码有效。

2.在一传输系统，一种将软件程序下载到存储器单元的方法，该软件程序包括一引导代码和一应用代码在内，该引导代码允许下载应用代码，该存储器单元包括至少一被存储的当前软件程序，该当前软件程序在第一位置包括保存在存储器单元中的当前引导代码，该方法包括步骤：

-定义启动扇区跳到保存有引导代码的存储器单元的位置的启动扇区，为了以便确认使用所述的引导代码，该启动扇区最初指向第一个位置，在那儿当前引导代码被存储，

-根据一下载请求，在一个第二位置下载一个包括新的引导代码和新的应用代码的新的软件程序，

-跳到存储有新的引导代码的第二位置。

3.一种如权利要求2的方法，其中跳到新的引导代码被存储的第二位置的步骤下面是如下：

-在第一位置用新的引导代码替换当前引导代码，

-跳到第一个位置。

4.一种如权利要求2的方法，其中启动扇区位于存储器单元的被保护的存储区。

5.一种如权利要求2的方法，其中启动扇区位于从存储器单元分离出来的被保护的存储区。

6.一种如权利要求2的方法，其中当前引导代码被保存在存储器单元的被保护区，那个区域可以根据具体能在指定的软件情况下对于改写是不作保护的。

7.一种如权利要求2的方法，其中新的软件程序被保存在存储器单元的一个区，那个区域可以根据具体能在指定的软件情况下对于改写是作保护的和不作保护的。

8.一种如权利要求2的方法，其中新的软件程序包括一个中间应用代码，它是在当前应用代码和新的应用代码之间的连接链接，使得用户配置参数化新的软件程序。

9.一种接收由传输系统传送的软件程序的接收器，该接收器包括实现如权利要求1到8中任何一个要求的方法的装置。

10.一种如权利要求9中要求的接收器，其中所述用来实现如权利要求1到8中任何一个要求的方法的装置包括一个文件系统。

11.一种如在权利要求9中要求的接收器，其中该存储器单元是一持久性存储器，允许根据软件指令保护/不保护存储区。

12.一种包括用来传送软件程序的发送器和至少一个为了接收所述的软件程序的接收器的传输系统，该接收器包括实现如权利要求1到8中任何一个要求的方法的装置。

13.一种使得接收器计算一组指令的计算机程序产品，当载存入接收器时，该计算机程序产品使得接收器实现如权利要求1到8中任何一个要求的方法。

14.一种运行载有计算机程序的信号，计算机程序被安排来实现在权利要求1中要求的方法。