CN108804254A - 用于车辆中远程安装软件期间故障处理的方法和系统 - Google Patents

Abstract

提供了用于在车辆中远程安装软件的方法。所述方法包括启动包括至少一个安装子程序(202A‑B)的安装程序，至少一个子程序包括至少一个动作(204A‑B)；在安装期间：如果动作失败则重试(206)所述动作；如果在重试所述动作之后动作还是失败，则重试(208)包括所述动作的安装子程序；以及如果在重试包括所述动作的安装子程序之后动作失败，则重试(210)包括所述安装子程序的安装程序。还提供了用于执行所述方法的系统(100)。

Description

用于车辆中远程安装软件期间故障处理的方法和系统

技术领域

本发明涉及用于车辆内远程安装软件的方法和系统。特别地，本发明涉及用于处理和报告在车辆内远程安装软件期间发生的失败的方法和系统。

背景技术

随着车辆中越来越多的功能受到软件的控制，越来越需要有效地更新车辆软件。

传统地，已经由服务技术人员在能够手动管理软件安装过程的车间或服务中心安排和实施了软件升级。因此，如果软件未成功地安装，则服务技术人员可能诊断安装错误并且重新安装。藉此，可能确保仅由正确的软件版本操作车辆。

此外，当引入其它车辆特征时，越来越需要确保在车辆内安装正确的软件。同样重要的是确保各种车辆系统的兼容性。例如，主动安全系统、驾驶员辅助系统和自我驾驶车辆依赖软件来保持车辆乘客安全。同时，为了车主方便，期望经由无线连接从遥远位置向车辆提供无线软件更新从而车辆不需要在服务中心才能实施更新。

但是，一个重要问题是考虑何时提供无线软件更新才能确保正确地安装软件并且保持车辆的所有功能。

上述问题的一个解决方案是使用在车辆内使用双存储体(dual memory-bank)的操作法，使得软件在一个存储体中安装，并且旧软件版本保存在另一个存储体中，如果软件安装成功则随后仅使用更新的存储体。藉此，如果软件安装不成功，则仍然使用旧软件版本。但是，为了更新软件，可能需要将车辆开到服务中心或车间以便诊断和手动安装软件，或技术人员来到车辆处解决问题。此外，双存储体的使用昂贵且复杂。

因此，期望提供改进的无线软件安装过程。

发明内容

鉴于现有技术的上述及其它缺陷，本发明的一个目的是提供用于车辆中无线安装软件的改进方法和系统。特别地，本发明的一个目的是提供用于车辆中无线安装软件的故障处理策略。

根据本发明的第一方面，提供了用于在车辆中远程安装软件的方法。所述方法包括启动包括至少一个安装子程序的安装程序，所述至少一个子程序包括至少一个动作；以及在安装期间：如果动作失败则重试动作；如果在重试动作之后动作还是失败，则重试包括动作的安装子程序；以及如果在重试包括动作的安装子程序之后动作失败，则重试包括安装子程序的安装程序。

在当前上下文中，认为安装程序包括用于更新选定车辆功能所需的整个安装。安装程序可包括多个子程序，并且每个子程序可包括要执行的多个动作。每个动作也可通过描述动作的若干特征和如何执行动作来限定每个动作。此外，动作(action)是包括访问特定控制单元的特定数据的指令。动作例如可以是“删除记忆”、“向存储器写入数据”以及“验证写入数据”，其中通过写入数据的内容确定特定动作的功能。动作因此可被视为在安装过程期间发出的指令。

本发明基于这样的认识：安装程序(installation sequence)可被有利地分成子程序(sub-sequence)，子程序又包括安装动作，从而将总的安装过程分为更小的步骤，藉此利于有效的故障处理。安装程序被分为三个重试分层水平以增加成功安装的几率。失败动作的理由可能是待更新的控制单元或存储装置在第一次安装尝试时忙于其它过程。在那种情况下，重试动作可能解决问题，因为重试之间的时间足以完成之前的阻塞过程。还可能由于通路内丢失消息、由于控制单元存储器内失败的写入操作或由于不良信号品质导致动作失败，在这些情况下重试动作可能成功。

根据本发明的一个实施例，重试动作可有利地包括重试所述动作预定的次数。藉此，通过限制重试的次数，防止安装程序因一个动作重复地失败被卡住从而正确地安装。相同原理适用于子程序，其中重试所述子程序预定的次数。此外，在车辆内能够自动地执行重试而不牵涉远程服务器或操作者，藉此提供自动和自主的故障处理策略。控制单元可观察到它在预定响应时间内未接收到期望响应，视此为执行动作失败的指示并命令重试。

根据本发明的一个实施例，重试动作可包括在重试之前修改动作的特征。藉此，如果它是导致阻止安装过程进行的问题的一个特定动作，则能够通过修改特征来简化动作以便能执行动作。动作的特征例如可描述用于来自已经接收指令的控制单元的各种期望响应的超时设定，或用于动作的数据通信速度。因此，通过增加超时和降低通信速度能够修改和简化动作，藉此降低动作的复杂性并且增加成功执行动作的几率。

根据本发明的一个实施例，基于失败的类型选定子程序中修改的特征。如果例如没有接收到期望响应则能够增加超时。

根据本发明的一个实施例，安装程序可包括平行地执行多个安装子程序，并且如果动作失败则减少安装程序的平行性。安装程序例如可能要求平行地操作若干不同的控制单元，其例如可能导致通信总线上的冲突或其它问题。减少平行性藉此意味着平行地进行更少的行动或子程序，即平行地更新更少的车辆控制单元，藉此降低安装程序的复杂性。因此，减少平行性可能解决涉及通信总线容量的问题并且使得安装过程继续进行。

根据本发明的一个实施例，安装程序可进一步包括如果动作失败则增加安装子程序中随后动作的超时。藉此，假使有额外的时间则能够成功地完成动作。

因此，通过降低行动的复杂性、降低平行性并且增加动作之间的时间或通过组合所描述的测量值，能够降低安装程序的复杂性从而解决安装程序期间发生的问题。藉此，提供了常规故障处理的策略，藉此没有失败原因的特定知识也可能继续进行安装程序。

根据本发明的一个实施例，所述方法可进一步包括：如果安装程序失败则再启动尝试安装其上的车辆系统。因此，可包括一个或多个控制单元的车辆系统被重启并且在再启动之后能够再次尝试完整的安装程序。

根据本发明的一个实施例，所述方法可进一步包括向远程服务器提供报告，所述报告包括描述安装程序失败的信息，指明每次失败的时间和每次失败的类型。如果识别到安装中的失败，则取消整个安装程序以防仅更新某些控制单元，这例如可能由于不同软件版本之间的不兼容而导致问题。

根据本发明的一个实施例，所述方法可进一步包括限定临界水平(a level ofcriticality)的失败。如果在安装程序中发生若干次失败，则整个系统状态应当对应于所观察到的失败的最高临界水平。在示例实施例中，临界水平可能是FAILED，意味着在任何控制单元中都未改变记忆，并且从使用者的角度来看放弃安装。另一个更高的临界平面可能是FAILED CRITICAL，意味着控制单元中已经改变了某些记忆，其中不能保证系统功能。还可能已经更新了某些控制单元而某些没有更新，无论在哪种情况下都不能保证控制单元之间的软件兼容性。

根据本发明的一个实施例，所述方法可进一步包括在完成安装之后提供安装简报，包括：

-用于每个控制单元的状态和安装中涉及的数据文件；

-安装期间的重试总数；以及

-用于每个数据文件的总的安装时间。

在安装失败的情形下，描述失败特性的附加信息属于安装简报。

藉此，能够向远程服务器提供完整的安装报告以便分析和回顾。这样，如果安装失败或如果安装中有失败的部分，可确定失败的原因。

根据本发明的第二方面，提供了用于在车辆内远程安装程序的系统。所述系统包括用于与远程服务器通信的通信单元、至少一个车辆功能控制单元；以及车辆中的软件安装控制单元。其中软件安装控制单元被配置为：启动包括至少一个安装子程序的安装程序，至少一个子程序包括至少一个动作；以及在安装期间：如果动作失败则重试动作，如果在重试动作之后动作还是失败，则重试包括动作的安装子程序；以及如果在重试包括动作的安装子程序之后动作失败，则重试包括安装子程序的安装程序。

根据本发明的一个实施例，在包括多个车辆功能控制单元的系统中，软件安装控制单元可进一步被配置为在多个车辆功能控制单元上平行地执行安装程序，并且如果动作失败，则减少安装程序在其上同时执行的车辆功能控制单元的数目。因此，通过降低安装程序的平行性能够降低复杂性，藉此提高成功实施安装的几率。

本发明第二方面的效果和特征主要类似于结合本发明第一方面如上所述的那些。

当研究所附权利要求和随后的描述时本发明的其它特征和优点将变得更明显。本领域技术人员认识到，本发明的不同特征可能组合以形成除了下文中描述的那些之外的实施例而不脱离本发明的范围。

附图说明

现在将参照示出本发明示例实施例的附图更详细地描述本发明的这些及其他方面，其中：

图1示意性地示出包括根据本发明实施例的系统的车辆；

图2是描绘根据本发明实施例的方法的常规步骤的流程图；

图3是描绘根据本发明实施例的方法的特征的流程图；并且

图4示意性地示出包括根据本发明实施例的系统的车辆。

具体实施方式

现在将更完全地参照附图描述本发明，其中示出本发明当前优选实施例。然而本发明可能体现为很多不同的形式并且不应当被诠释为局限于此处阐述的实施例；相反地，为了透彻性和完整性提供这些实施例，并且其完全地给本领域技术人员传达了本发明的范围。相同附图标记自始至终指的是同样的元件。

图1示意性地示出根据本发明实施例用于在车辆102中远程安装软件的系统100。用于在车辆102中远程安装软件的方法的常规步骤如图2的流程图所绘。在下文中，将参照图1的系统和图2的方法描述本发明的各种实施例。

系统100包括用于与远程服务器106通信的通信单元104、至少一个车辆功能控制单元108和车辆102中的软件安装控制单元110。控制单元108、110可包括微处理器、微控制器、可编程数字信号处理器或其它可编程装置。控制单元108、110也可或替代地包括专用集成电路、可编程门阵列或可编程阵列逻辑、可编程序逻辑装置或数字信号处理器。其中控制单元108、110包括可编程装置例如上述微处理器、微控制器或可编程数字信号处理器，处理器可进一步包括控制可编程装置的操作的计算机可执行代码。控制单元108、110还可能是用于软件安装的专用单元，或者控制单元108、110的功能可能合并在通用的控制单元中。软件安装控制单元110和车辆功能控制单元108也可称为发动机控制单元(ECU)或发动机控制组件(ECM)。

软件安装控制单元110被配置为执行根据本发明各种实施例的方法。特别地，软件安装控制单元110负责执行安装，即用于触发正确顺序的动作并且发出相应的指令。因此，安装控制单元110与安装步骤所涉及的所有车辆功能控制单元108通信。

所述方法包括启动200包括至少一个安装子程序202A-B的安装程序，其中每个子程序包括至少一个动作204A-B。在安装期间，如果动作204B失败则重试206所述动作。如果在重试动作204B之后动作204B还是失败，则重试208包括动作204B的安装子程序202B。如果在重试安装子程序202B之后仍然无法执行动作204B，则重试210包括失败的安装子程序202B的整个安装程序。如果在重试整个安装程序之后仍然无法完成动作204B和/或子程序202B，则安装被分类为失败。

应注意到，上述说明仅为澄清，并且安装程序实际上典型地包括大量子程序，每个子程序中具有大量动作。

重试动作或重试子程序包括重试动作或子程序预定的次数。重试的预定次数用于避免安装程序不断地重试某个动作或子程序。当然能够任意设定重试的数量。在例示的实施例中，重试的预定次数被设定为三个。对于不同类型的失败和安装程序的不同动作或子程序来说，重试的次数也可能不同。

动作可被定义为描述如何执行动作的若干特征。这些特征例如可描述动作的超时(timeout)和数据通信速度。超时是等待完成事件/请求等等的时间，并且数据通信速度限定了在车辆的通信购买上使用的数据速度。

也可通过特征例如描述应当执行多少同步动作的平行性描述子程序。

根据图3的流程图示意性所示的本发明实施例，所述方法可包括在重试动作之前修改和简化动作的特征，并且对于失败的子程序和整个安装程序来说能够采用相同的修改和简化安装的策略。

在示例实施例中，来自动作的预期响应的超时可能增加，或者子程序中平行动作的数目可能减少。安装步骤的第一子程序可典型地包括设定编程模式中所有涉及的控制单元，其在多个控制单元上平行进行，藉此涉及多个平行动作。

因此，图3描述的方法可包括简化动作300、简化子程序302和/或简化安装程序304。藉此，每个重试水平(level)与特征的移除相关，并且每个重试水平还与重试的最大次数相关。如果在执行所描述的简化之后和重试预定次数之后整个安装程序的重试随后失败，则认为整个安装失败。

此外，如果整个安装程序失败，则尝试安装其上的车辆系统可被再启动306并且再次尝试安装程序。

所述方法可有利地包括向远程服务器106提供308安装状态报告。状态报告可包括安装简报，安装简报至少包括：

-用于每个控制单元的状态和安装涉及的数据文件；

-安装期间的总的重试次数；以及

-用于每个数据文件的总安装时间。

如果安装失败，安装简报进一步包括：

-失败时间；

-其中发生失败的控制单元的识别；

-发生失败的安装数据文件的识别；

-其中发生失败的子程序的识别；

-其中发生失败的动作的识别；以及

-失败消息。

藉此，能在每个安装重试水平上跟踪故障。安装之后的系统状态反映了最高临界水平的失败状态。报告也可包括附加信息和失败模式，例如“未开始安装”和“安装了特征(features)但未验证”。

图4示意性地示出用于无线安装的系统的示例实施例，其中车辆102经由云环境402与外部源通信。在此，车辆能够与服务中心404、与车辆接口406和/或车辆制造商后台设备408通信，车辆制造商后台设备可包括向车辆102提供软件更新程序包的远程服务器106。当完成安装时，车辆102能够向每个连接源发送安装状态(例如OK(成功)或FAIL(失败))。

在上述描述中，提供了用于软件无线安装的方法和系统，包括三个重试水平、逐步的对策以及例外优先和可溯性，藉此提供耐用的安装方法。

虽然已经参照特定的例示实施例描述了本发明，很多不同的变化、改进等等是本领域技术人员显而易见的。同样，应注意到可能省略、互换或以各种方式设置所述方法和系统的零件，但是所述方法和系统能够实现本发明的功能。

额外地，实施所请求发明的本领域技术人员通过研究附图、公开内容和所附权利要求能够理解和影响公开实施例的变型。在权利要求中，单词“包括”不排除其它元件或步骤，不定冠词“一个”不排除多个。某些测量值记载在彼此不同的从属权利要求中这个纯粹事实不表示这些测量值的组合不能用于获利。

Claims (15)

1.一种用于车辆(102)中远程安装软件的方法，所述方法包括：

启动(200)包括至少一个安装子程序(202A-B)的安装程序，所述至少一个子程序包括至少一个动作(204A-B)；并且在安装期间：

如果所述动作失败，则重试(206)所述动作；

如果在重试所述动作之后所述动作失败，则重试(208)包括所述动作的所述安装子程序；以及

如果在重试包括所述动作的所述安装子程序之后所述动作失败，则重试(210)包括所述安装子程序的所述安装程序。

2.根据权利要求1所述的方法，其中重试所述动作包括重试所述动作预定的次数。

3.根据权利要求1或2所述的方法，其中重试所述子程序包括重试所述子程序预定的次数。

4.根据前述权利要求任意一项所述的方法，其中重试动作包括在重试所述动作之前修改所述动作的特征。

5.根据权利要求4所述的方法，其中基于失败的类型选定动作中修改的特征。

6.根据前述权利要求任意一项所述的方法，其中所述安装程序包括平行地执行多个安装子程序，并且如果动作失败则减少安装程序的平行性。

7.根据前述权利要求任意一项所述的方法，进一步包括如果动作失败则增加用于安装子程序中随后执行动作的超时。

8.根据前述权利要求任意一项所述的方法，进一步包括如果所述安装程序失败，则再启动(306)在其上尝试安装的车辆系统。

9.根据前述权利要求任意一项所述的方法，进一步包括向远程服务器提供(308)报告，所述报告包括描述所述安装程序中失败的信息，指明每次失败的时间和每个失败的类型。

10.根据前述权利要求任意一项所述的方法，进一步包括限定临界水平的失败。

11.根据权利要求9或10所述的方法，进一步包括向远程服务器(106)提供状态报告，其中，车辆系统的状态是代表所述安装程序遇到的最高临界水平的状态。

12.根据前述权利要求任意一项所述的方法，进一步包括在完成所述安装之后提供安装简报，所述安装简报包括：

-用于每个控制单元的状态和安装中涉及的数据文件；

-安装期间的总的重试次数；以及

-用于每个数据文件的总安装时间；以及

在安装失败的情形下，所述安装简报进一步包括：

-失败的时间；

-其中发生失败的控制单元的识别；

-发生失败的安装数据文件的识别；

-其中发生失败的子程序的识别；

-其中发生失败的动作的识别；以及

-失败消息。

13.一种用于车辆(102)中远程安装软件的系统(100)，所述系统包括：

用于与远程服务器(106)通信的通信单元(104)；

至少一个车辆功能控制单元(108)；以及

车辆中的软件安装控制单元(110)，其被配置为：

启动包括至少一个安装子程序的安装程序，所述至少一个子程序包括至少一个动作；并且在安装期间：

如果所述动作失败，则重试所述动作；

如果在重试所述动作之后所述动作失败，则重试包括所述动作的所述安装子程序；以及

如果在重试包括所述动作的所述安装子程序之后所述动作失败，则重试包括所述安装子程序的所述安装程序。

14.根据权利要求13所述的系统，所述系统包括多个车辆功能控制单元，其中所述软件安装控制单元进一步被配置为：

在所述多个车辆功能控制单元上平行地执行所述安装程序，并且如果动作失败，则减少所述安装程序在其上同时执行的车辆功能控制单元的数量。

15.一种车辆，包括根据权利要求13或14所述的系统。