FAULT-TOLERANT VARIABLE REGION REPAVING DURING FIRMWARE OVER THE AIR UPDATE

Variables utilized in device firmware that provides various boot and runtime services are repaved in a fault-tolerant manner within a secure store in a durable, non-volatile device memory during an FOTA update process. A spare region in the secure store is utilized to temporarily hold a back-up of a primary region in which the firmware variables are written. Using a transaction-based fault- tolerant write (FTW) process, the variables in the primary region can be repaved with variables contained in a firmware update payload that is delivered from a remote service. In the event of a fault in the variable region repaving process, either the primary or spare region will remain valid so that firmware in a known good state can be utilized to enable the device to boot successfully and the variable region repaving in the FOTA update process may be restarted. La présente invention porte sur des variables utilisées dans un micrologiciel de dispositif qui fournit divers services d'amorçage et d'exécution, lesdites variables étant repavées d'une manière insensible aux défaillances dans un magasin sécurisé dans une mémoire de dispositif non volatile durable pendant un processus de mise à jour de micrologiciel par liaison radio (FOTA pour Firmware Over The Air). Une région de réserve dans le magasin sécurisé est utilisée pour maintenir temporairement une sauvegarde d'une région primaire dans laquelle sont écrites les variables de micrologiciel. À l'aide d'un processus d'écriture insensible aux défaillances (FTW pour Fault-Tolerant Write) basé sur des transactions, les variables dans la région primaire peuvent être repavées avec des variables contenues dans une charge utile de mise à jour de micrologiciel qui est fournie par un service à distance. Dans le cas d'un défaut dans le processus de repavage de région variable, soit la région primaire, soit la région de réserve reste valide de telle sorte que le micrologiciel dans un bon état connu puisse être utilisé pour permettre au dispositif de démarrer avec succès et le repavage de la région variable dans le processus de mise à jour de micrologiciel FOTA peut être redémarré.