CN110244961A - 车辆控制系统及用于确认软件一致性的方法 - Google Patents

Abstract

作为多个车载装置中的任何一个车载装置的特定车载装置，配置为在车辆的电源接通时获取其他车载装置中包含的软件的版本。特定车载装置通过将特定车载装置的软件的版本和从其他车载装置获取的软件的版本与预先存储的第一一致性信息进行比较，判断构成车辆控制系统的全部车载装置的软件的版本是否是一致的。

Description

车辆控制系统及用于确认软件一致性的方法

技术领域

本发明涉及车辆控制系统及用于确认软件一致性的方法。

背景技术

日本专利申请公开第2009-53920号(JP 2009-53920 A)公开了一种系统，该系统利用从服务器发送的升级程序来更新ECU(Electronic Control Unit,ECU)程序。在JP2009-53920 A的系统中，在更新相关的程序之前，通过参考待更新的ECU程序的升级程序与其他ECU程序之间的依赖关系的信息来判断是否更新ECU程序，以防止由于ECU程序的不一致的版本而导致的运行故障的发生。

发明内容

当多个车载程序的版本不一致时，可能执行非预期的车辆控制。尽管JP 2009-53920A的系统在更新时确认了待更新的程序与其他程序之间的依赖关系，但是在更新程序时确认依赖关系可能并不足以防止非预期的车辆控制。

本发明提供了车辆控制系统及用于确认软件一致性的方法，能够进一步地降低由于多个车载软件的不一致的版本而导致执行非预期的车辆控制的可能性。

根据本发明第一方面的车辆控制系统包括多个车载装置，其中，多个车载装置中的任何一个车载装置是特定车载装置，并且该特定车载装置包括：第一一致性信息存储单元；版本获取单元；以及第一判断单元。第一一致性信息存储单元配置为预先存储第一一致性信息，该第一一致性信息包括构成车辆控制系统的全部车载装置的软件的版本的允许组合。版本获取单元配置为当车辆的电源接通时，获取其他车载装置中包含的软件的版本。其他车载装置是除了特定车载装置之外的车载装置。第一判断单元配置为当版本获取单元从其他车载装置获取软件的版本时，通过将特定车载装置的软件的版本和从其他车载装置获取的软件的版本与第一一致性信息进行比较，判断构成车辆控制系统的全部车载装置的软件的版本是否是一致的。

在根据以上方面的车辆控制系统中，当车辆的电源接通时，特定车载装置判断构成车辆控制系统的全部车载装置的软件的版本是否是一致的。这使得能够进一步地降低由于车载软件的不一致的版本而导致执行非预期的车辆控制的可能性。

在以上方面中，特定车载装置还包括：第一发送单元；以及接收单元。第一发送单元可以配置为当第一判断单元判断构成车辆控制系统的全部车载装置的软件的版本是不一致的时，将包括构成车辆控制系统的全部车载装置的软件的版本的版本信息发送至外部服务器。接收单元可以配置为从外部服务器接收判断结果信息，该判断结果信息为关于由外部服务器基于由第一发送单元发送的版本信息而判断的判断结果的信息。该判断结果信息表示构成车辆控制系统的全部车载装置的软件的版本是否是一致的。

根据以上配置，即使当特定车载装置未能确认软件的版本的一致性时，也能够基于外部服务器的判断结果来确认软件的版本的一致性。因此，能够高准确度地确认软件的版本的一致性。

在以上方面中，车载装置还可以分别配置为保存当前版本的软件和先前版本的软件。第一一致性信息存储单元可以配置为存储当前版本中的第一致性信息和先前版本中的第一一致性信息。特定车载装置还可以包括切换指示单元，该切换指示单元可以配置为当第一发送单元无法与外部服务器进行通信时，指示其他车载装置将执行目标软件切换至先前版本的软件。版本获取单元可以配置为在切换指示单元指示切换软件之后，从其他车载装置获取切换后的软件的版本。第一判断单元可以配置为通过将切换后的特定车载装置的软件的版本和从其他车载装置获取的切换后的软件的版本与先前版本中的第一致性信息进行比较，判断构成车辆控制系统的全部车载装置的软件的版本是否是一致的。

根据该配置，当车辆处于无法与外部服务器进行通信的环境中时，将车载装置的软件切换至先前版本的软件。因此，能够在早期阶段确保构成车辆控制系统的全部车载装置的软件的一致性。

在以上方面中，特定车载装置还可以包括：软件获取单元；以及软件更新单元。软件获取单元可以配置为当其他车载装置中的任何一个车载装置发生故障时，从外部服务器获取在故障车载装置发生故障时刻的版本的软件，并且保存该软件。软件更新单元可以配置为当车载装置被更换或修理、随后第一判断单元判断更换后或修理后的车载装置与第一一致性信息是不一致的时，利用软件获取单元中保存的软件来更新更换后或修理后的车载装置的软件。版本获取单元可以配置为在软件更新单元更新软件之后，从其他车载装置获取软件的版本。第一判断单元可以配置为通过将特定车载装置的软件的版本和从其他车载装置获取的软件的版本与第一一致性信息进行比较，判断构成车辆控制系统的全部车载装置的软件的版本是否是一致的。

根据该配置，即使当构成车辆控制系统的全部车载装置的软件的版本由于车载装置的更换或修理而导致变成不一致的，并且车辆没有可用的充足无线通信环境时，也能够迅速地恢复全部车载装置的软件的版本是一致的这一状态。

在以上方面，外部服务器还可以包括：第二一致性信息存储单元；第二判断单元；以及第二发送单元。第二一致性信息存储单元可以配置为预先存储第二一致性信息，该第二一致性信息包括构成车辆控制系统的全部车载装置的软件的版本的允许组合。第二判断单元可以配置为基于从第一发送单元发送的版本信息，通过将构成车辆控制系统的全部车载装置的软件的版本与第二一致性信息进行比较，判断构成车辆控制系统的全部车载装置的软件的版本是否是一致的。第二发送单元可以配置为将第二判断单元作出的判断结果作为判断结果信息发送至特定车载装置。

根据该配置，能够基于外部服务器中保存的第二一致性信息来确认构成车辆控制系统的全部车载装置的软件的版本的一致性。这使得能够高准确度地判断车载装置的软件的版本的一致性。

在以上方面中，特定车载装置还可以包括一致性信息更新单元。该一致性信息更新单元可以配置为当第二判断单元判断构成车辆控制系统的全部车载装置的软件的版本是一致的时，更新第一一致性信息存储单元中存储的第一一致性信息。

根据该配置，能够基于外部服务器中的判断结果来更新代表性的车载装置中保存的第一一致性信息。因此，车辆控制系统能够在不与外部服务器进行通信的情况下迅速地执行下一次的一致性判断处理。

在以上方面中，特定车载装置还可以包括更新指示单元。该更新指示单元可以配置为当第二判断单元判断构成车辆控制系统的全部车载装置的软件的版本是不一致的时，指示保存有与第二判断单元进行判断所使用的第二一一致性信息不一致的版本的软件的车载装置进行软件更新。

根据该配置，能够基于外部服务器中的判断结果来更新与第二一致性信息不一致的版本的软件。因此，能够迅速地恢复全部车载装置的软件的版本是一致的这一状态。

根据本发明第二方面的用于确认软件一致性的方法在构成车辆控制系统的多个车载装置中的任何一个车载装置中包含的计算机中执行。用于确认软件一致性的方法包括：预先存储；获取；以及判断。预先存储，是预先存储第一一致性信息，该第一一致性信息包括构成车辆控制系统的全部车载装置的软件的版本的允许组合。获取，是当车辆的电源接通时，获取其他车载装置中的软件的版本。判断，是当从其他车载装置获取了软件的版本时，通过将特定车载装置的软件的版本和从其他车载装置获取的软件的版本与第一一致性信息进行比较，判断构成车辆控制系统的全部车载装置的版本是否是一致的。

在根据以上方面的用于确认软件一致性的方法中，当车辆的电源接通时，特定车载装置判断构成车辆控制系统的全部车载装置的软件的版本是否是一致的。这使得能够进一步地降低由于车载装置的软件的不一致的版本而导致执行非预期的车辆控制的可能性。

本发明还允许进一步降低由于多个车载装置的软件的不一致的版本而导致执行非预期的车辆控制的可能性。

附图说明

下面将结合附图描述本发明的示例性实施例的特征、优点和技术及工业显著性，其中相同的标号表示相同的元件，且其中：

图1为示出根据第一实施例的车辆控制系统的示意性配置的框图；

图2为图1中示出的车辆控制系统的功能框图；

图3示出了图2中所示的一致性信息存储单元中存储的一致性表格的一示例；

图4为示出由根据第一实施例的车辆控制系统中的代表性车载装置执行的确认一致性的处理的一示例的流程图；

图5为根据第二实施例的车辆控制系统的功能框图；

图6为示出由根据第二实施例的车辆控制系统中的代表性车载装置执行的一致性确认处理的一示例的流程图；

图7为用于描述根据第三实施例的车辆控制系统的背景的示意图；

图8为根据第三实施例的车辆控制系统的功能框图；

图9为示出由根据第三实施例的车辆控制系统中的代表性车载装置执行的软件获取处理的一示例的流程图；以及

图10为示出由根据第三实施例的车辆控制系统中的代表性车载装置执行的一致性确认处理的一示例的流程图。

具体实施方式

概要

在根据本发明的车辆控制系统中，每当车辆的电源接通时，构成车辆控制系统的多个车载装置中的其中一个车载装置便确认软件的版本的一致性，以降低由于软件的不一致的版本而导致执行非预期的车辆控制的可能性。

第一实施例

配置

图1为示出根据第一实施例的车辆控制系统的示意性配置的框图。

车辆控制系统100是由能够彼此通信的多个车载装置A至D构成的系统。该系统通过组合多个车载装置A至D的功能实现特定的车辆控制。在图1的示例中，车辆控制系统100由四个车载装置A至D构成。然而，构成车辆控制系统100的车载装置的数量并不限于四个。由车辆控制系统100实现的特定的车辆控制的示例可以包括自动驾驶。车载装置A至D对应于控制车辆行驶功能(例如加速、减速及转向)的ECU，并且对应于通过组合控制车辆行驶功能的ECU来提供行驶辅助的ECU。车载装置A至D能够通过无线通信装置1与外部服务器2进行通信。在下面的描述中，作为构成车辆控制系统的多个车载装置A至D中的其中一个车载装置的特定车载装置A被称为“代表性车载装置A”。

图2为图1示出的车辆控制系统的功能框图。图3示出了图2中示出的一致性信息存储单元中存储的一致性表格的一示例。

代表性车载装置A

尽管代表性车载装置A是提供车辆控制系统100的控制功能的多个车载装置中的其中一个车载装置，但是代表性车载装置A在确认车载装置A至D的软件版本的一致性的处理中用作主装置。当车辆的电源接通时，代表性车载装置A对构成车辆控制系统100的全部车载装置A至D的软件的版本的一致性进行确认。代表性车载装置A包括软件存储单元10、一致性信息存储单元11、版本获取单元12、判断单元13、发送单元14、接收单元15、一致性信息更新单元16、以及更新指示单元17。

软件存储单元10存储用于运行代表性车载装置A的软件。代表性车载装置A通过执行软件存储单元10中存储的软件来实现用于控制车辆的运行的特定功能。

一致性信息存储单元11预先存储一致性表格，该一致性表格限定了构成车辆控制系统100的全部车载装置A至D的软件的版本的组合。一致性表格中限定的车载装置A至D的软件的版本的组合是被确认为正常地运行车辆控制系统100的版本的组合。该组合还是被允许执行的版本的组合。例如，如图3所示，一致性表格可以包括识别车辆控制系统100的系统号码，和车载装置A至D的软件版本。可以将识别车辆控制系统100的标识符用作系统号码，或者可以将车辆控制系统100的版本用作系统号码。尽管一致性表格限定了图3的示例中的每个车载装置的单个版本，但是一致性表格也可以限定能够被组合的车载装置的版本的范围。一致性表格还可以限定被允许同时执行的多个版本(或版本的范围)的组合。当一个车载装置保存了多个软件时，一致性表格限定每个软件的允许版本。使用一致性表格，作为用于稍后描述的判断单元13的一致性信息(第一一致性信息)，以判断车载装置A至D的软件的版本是否是一致的。

每当车辆的电源接通时，版本获取单元12通过通信来获取其他车载装置B至D中的每个软件的版本。当存在保存有车载装置B至D中的多个软件的任何车载装置时，版本获取单元12获取相关的车载装置中保存的全部软件的版本。

每当版本获取单元12从其他车载装置B至D获取软件的版本时，判断单元13判断构成车辆控制系统100的全部车载装置A至D的软件的版本是否是一致的。判断单元13通过将代表性车载装置A的软件存储单元10中存储的软件的版本和版本获取单元12从其他车载装置B至D获取的软件的版本与一致性信息存储单元11中存储的一致性信息进行比较来做出判断。当基于一致性信息存储单元11中存储的一致性表格判断构成车辆控制系统100的全部车载装置A至D的软件的版本是一致的时，判断单元13允许由车载装置A至D的功能的组合实现的特定的车辆控制的执行。

当判断单元13判断构成车辆控制系统100的全部车载装置A至D的软件的版本是不一致的时，发送单元14将包括车载装置A至D的软件的版本的版本信息发送至外部服务器2。在外部服务器2中使用由发送单元14发送的版本信息来再次确认车载装置A至D的软件的版本是否是一致的。

接收单元15接收由外部服务器2发送的各项信息。接收单元15从外部服务器2接收的其中一项信息是判断结果信息。该判断结果信息表示车载装置A至D的软件的版本是否是一致的。能够获得作为由外部服务器2基于从发送单元14接收的版本信息而做出的判断结果的判断结果信息。

发送单元14和接收单元15通过图1中示出的无线通信装置1与外部服务器2进行通信。

当由接收单元15接收的判断结果信息表示车载装置A至D的软件的版本是一致的时，一致性信息更新单元16对一致性信息存储单元11中存储的一致性信息进行更新。一致性信息更新单元16可以通过以下方式来更新一致性信息：将一致性信息存储单元11中存储的一致性表格(第一一致性信息)中包含的软件的版本的组合更换为车载装置A至D的软件的当前版本的组合，或者通过将车载装置A至D的软件的当前版本的组合加入到一致性信息存储单元11中存储的一致性表格。一致性信息更新单元16可以通过从外部服务器2获取更新后的一致性表格，并且将一致性信息存储单元11中存储的一致性表格更换为从外部服务器2获取的一致性表格，来更新一致性信息。

当由接收单元15接收的判断结果信息表示车载装置A至D的软件的版本是不一致的时，更新指示单元17指示保存有与允许版本的组合不一致的软件的车载装置进行软件更新。

车载装置B至D

车载装置B至D各自包括软件存储单元20、发送单元21和接收单元22。

软件存储单元20存储用于运行车载装置B至D中的每个车载装置的软件。车载装置B至D分别通过执行软件存储单元20中存储的软件来实现用于控制车辆的运行的特定功能。

发送单元21将软件存储单元20中存储的软件的版本发送至代表性车载装置A。发送单元21可以在车载的电源接通时将软件的版本发送至代表性车载装置A。可选地，发送单元21可以响应于当车辆的电源接通时由代表性车载装置A发送的请求，将软件的版本发送至代表性车载装置A。

接收单元22接收代表性车载装置A或外部服务器2发送的各项信息。

外部服务器2

外部服务器2包括一致性信息存储单元30、判断单元31、发送单元32和接收单元33。

一致性信息存储单元30预先存储一致性表格，该一致性表格限定了构成车辆控制系统100的全部车载装置A至D的软件的版本的组合。一致性表格中限定的车载装置A至D的软件的组合是被确认为正常地运行车辆控制系统100的版本的组合。该组合还是被允许执行的版本的组合。如图3中示出的情况，一致性信息存储单元30中存储的一致性表格可以包括标识车辆控制系统100的系统号码以及车载装置A至D的软件版本。使用一致性表格，作为用于稍后描述的判断单元31的一致性信息(第二一致性信息)，以判断车载装置A至D的软件的版本是否是一致的。

判断单元31判断构成车辆控制系统100的全部车载装置A至D的软件的版本是否是一致的。判断单元31通过将从代表性车载装置A接收的版本信息中包含的车载装置A至D的软件的版本与一致性信息存储单元30中存储的一致性表格进行比较来做出判断。外部服务器2能够管理车载装置A至D的全部版本的软件。因此，与代表性车载装置A的一致性信息存储单元11中存储的一致性表格相比，一致性信息存储单元30中存储的一致性表格能够限定车载装置A至D的软件的版本的大量允许组合。因此，即使当代表性车载装置A无法确认软件的版本的一致性时，也能够通过在外部服务器2中再次做出判断来高准确度地判断车载装置A至D的软件的版本的一致性。

发送单元32将作为由判断单元31作出的判断的结果的判断结果信息发送至代表性车载装置A。判断结果信息指示车载装置A至D的软件的版本是否是一致的。

接收单元33接收由代表性车载装置A发送的各项信息。

控制处理

下面将结合图2至图4来描述由代表性车载装置A执行的控制处理。

图4是示出由根据第一实施例的车辆控制系统中的代表性车载装置执行的确认一致性的处理的一示例的流程图。当车辆的电源接通时，执行图4中示出的控制处理。

步骤S1：版本获取单元12获取其他车载装置B至D的软件的版本。然后，处理转至步骤S2。

步骤S2：判断单元13将代表性车载装置A的软件的版本和从其他车载装置B至D获取的软件的版本与一致性信息存储单元11中存储的一致性表格进行比较，以判断车载装置A至D的软件的版本是否是一致的。当步骤S2中的判断结果为“是”时，处理转至步骤S3。否则，处理转至步骤S4。

步骤S3：判断单元13允许使用车载装置A至D的组合的车辆控制的执行。然后，判断单元13结束该处理。

步骤S4：发送单元14将版本信息发送至外部服务器2，该版本信息包括代表性车载装置A的软件的版本以及从其他车载装置B至D获取的软件的版本。然后，处理转至步骤S5。

步骤S5：接收单元15判断是否从外部服务器2接收了判断结果信息。当步骤S5中的判断结果为“是”时，处理转至步骤S6。否则，等待预定时间之后，接收单元15再次执行步骤S5的判断处理。当在步骤S5中接收单元15无法从外部服务器2接收判断结果信息的状态持续了预定时间(超时时间)时，接收单元15判断超时，并且结束步骤S5的处理。然后处理进行至步骤S6。

步骤S6：判断单元13基于从外部服务器2接收的判断结果信息来判断车载装置A至D的软件的版本是否是一致的。当步骤S6中的判断结果为“是”时，处理转至步骤S7。否则，处理转至步骤S9。当在步骤S5中接收单元15判断超时时，判断单元13判断车载装置A至D的软件的版本是不一致的。

步骤S7：判断单元13允许使用车载装置A至D的组合的车辆控制的执行。然后，处理转至步骤S8。

步骤S8：一致性信息更新单元16对一致性信息存储单元11中存储的一致性表格进行更新。如前面所述，可以通过使用在步骤S2中用于判断的软件的版本来更新一致性表格，或者可以通过使用由接收单元15从外部服务器2获取的一致性表格来更新一致性表格。然后，结束该处理。

步骤S9：判断单元13禁止使用车载装置A至D的组合的车辆控制的执行。然后，处理转至步骤S10。

步骤S10：更新指示单元17指示保存有与一致性信息存储单元11中存储的一致性表格不一致的版本的软件的车载装置进行软件更新。然后，更新指示单元17结束该处理。

当更新指示单元17指示软件更新，并且待更新的车载装置完成从服务器2接收更新后的软件时，鼓励用户临时地断开、随后再次接通车辆的电源，以便将执行目标软件从当前版本的软件切换至更新后的软件。

当基于步骤10中的更新指示对任何一个车载装置的软件进行更新时，一致性信息更新单元16可以根据需要对一致性信息存储单元11中存储的一致性表格进行更新。

效果

在根据本实施例的车辆控制系统100中，当车辆的电源接通时，代表性车载装置A获取车载装置B至D的软件的版本，并且基于预先准备的一致性表格来判断车载装置A至D的软件的版本是否是一致的。由于每当车辆的电源接通时确认软件的版本的一致性，因此能够进一步地降低由于车载装置A至D的软件的不一致的版本而导致执行非预期的车辆控制的可能性。

在根据本实施例的车辆控制系统100中，当代表性车载装置A基于软件版本的一致性检查(第一次检查)判断出不一致性时，代表性车载装置A将车载装置A至D的软件的版本发送至外部服务器2。然后外部服务器2利用外部服务器2中保存的一致性表格来再次执行软件版本的一致性检查(第二次检查)。即使当代表性车载装置A无法利用代表性车载装置A保存的信息来确认一致性时，外部服务器2还利用外部服务器2保存的信息再次执行一致性检查。这使得能够高准确度地判断车载装置A至D的软件的版本是否是一致的。

在根据本实施例的车辆控制系统100中，通过与预先准备的一致性表格相比来判断车载装置A至D的软件的版本是否是一致的。作为比较结果，能够识别哪个车载装置的软件的哪个版本与一致性表格是一致的。由于用于识别与一致性表格不一致的车载装置的信息适用于车载装置的软件更新、修理等，因此能够处理在早期阶段的软件的版本不一致的情况。

在根据本实施例的车辆控制系统100中，当代表性车载装置A判断车载装置A至D的软件的版本是不一致的、随后外部服务器2判断车载装置A至D的软件的版本是一致的时，能够更新代表性车载装置A的一致性信息存储单元11中存储的一致性表格。如果更新了一致性信息存储单元11中存储的一致性表格，则除非车载装置A至D的软件发生变化，否则在车辆的电源下一次接通时，代表性车载装置A能够通过其本身来确认软件版本的一致性。因此，能够缩短用于一致性的确认的时间。

代表性车载装置A可以仅由图2中示出的代表性车载装置A的功能框图中的软件存储单元10、一致性信息存储单元11、版本获取单元12及判断单元13构成。因此，能够构成简单的车辆控制系统，该车辆控制系统能够在车辆的电源接通时仅判断车载装置A至D的软件的版本的一致性。还可以将发送单元14和接收单元15加入该配置，以构成允许代表性车载装置A中的初次检查和外部服务器2中的二次检查的车辆控制系统。还能够构成这样的车辆控制系统：其中一致性信息更新单元16或更新指示单元1 7被从图2中示出的代表性车载装置A的功能框图中排除了。

第二实施例

配置

图5是根据第二实施例的车辆控制系统的功能框图。

根据第二实施例的车辆控制系统200，其特点在于在代表性车载装置A判断车载装置A至D的软件的版本是不一致的之后，即使在代表性车载装置A和外部服务器2之间不能通信的状态下，也能够确保车载装置A至D的软件的版本的一致性。下文主要给出了本实施例与第一实施例之间的区别的描述。

代表性车载装置A

代表性车载装置A的软件存储单元10存储当前版本的软件Sa_cur和先前版本的软件Sa_old，作为用于运行代表性车载装置A的软件。当前版本的软件Sa_cur和先前版本的软件Sa_old存储在软件存储单元10中的不同存储区域中。在软件更新时，删除先前版本的软件Sa_old，保存当前版本的软件作为先前版本的软件，并且将更新后的软件重新存储为当前版本的软件。

一致性信息存储单元11存储当前版本的一致性表格T_cur和先前版本的一致性表格T_old，作为一致性信息。在更新一致性信息时，删除先前版本的一致性表格T_old，保存当前版本的一致性表格作为先前版本的一致性表格，并且将更新后的一致性表格重新存储为当前版本的一致性表格。

代表性车载装置A还包括切换指示单元18和软件切换单元19。

当判断单元13判断车载装置A至D的软件的版本是不一致的，并且代表性车载装置A处于无法与外部服务器2进行通信的状态时，切换指示单元18指示车载装置A至D中的每个车载装置将执行目标软件从当前版本的软件切换至先前版本的软件。当切换指示单元18指示车载装置A至D切换软件时，可以通过显示单元上的显示器或通过声音向用户通知软件被切换至先前版本。

当切换指示单元18指示软件的切换时，软件切换单元19将执行目标软件从当前版本的软件Sa_cur切换至先前版本的软件Sa_old。同时，软件切换单元19将判断单元13使用的一致性信息从当前版本的一致性表格T_cur切换至先前版本的一致性表格T_old。当车辆的电源下一次接通时，软件切换单元19在确认车载装置A至D的软件的版本的一致性的处理之前切换软件。

在切换指示单元18指示软件的切换的情况下，版本获取单元12和判断单元13在车辆的电源接通时确认车载装置A至D的软件的版本的一致性。由版本获取单元12和判断单元13执行的处理与当电源接通时执行的正常处理相同。作为处理的结果，版本获取单元12从其他车载装置B至D获取切换后的软件的版本。判断单元13通过将切换后的代表性车载装置A的软件的版本和从切换后的其他车载装置B至D获取的软件的版本与先前版本的一致性表格进行比较，确认软件的版本的一致性。

车载装置B至D

车载装置B、C、D的软件存储单元20存储当前版本的软件Sb_cur、Sc_cur、Sd_cur和先前版本的软件Sb_old、Sc_old、Sd_old，作为用于运行车载装置B、C、D的软件。而且在车载装置B至D中，将当前版本的软件和先前版本的软件分别存储在软件存储单元20的不同存储区域中。在软件更新时，删除先前版本的软件，重新存储更新后的软件作为当前版本的软件，并且将当前版本的软件保存为先前版本的软件。先前版本的软件Sa_old至Sd_old是在当前版本的软件Sa_cur至Sd_cur之前使用的软件的组合，并且也是具有版本一致性的软件的组合。

车载装置B至D中的每个车载装置还包括软件切换单元23。当切换指示单元18指示软件的切换时，软件切换单元23将执行目标软件从当前版本的软件Sb_cur、Sc_cur、Sd_cur分别切换至先前版本的软件Sb_old、Sc_old、Sd_old。当车辆的电源下一次接通时，软件切换单元23还在确认车载装置A至D的软件的版本的一致性的处理之前切换软件。

控制处理

下面将结合图5和图6描述由代表性车载装置A执行的控制处理。

图6是示出根据第二实施例的由车辆控制系统中的代表性车载装置执行的确认一致性的处理的一示例的流程图。当车辆的电源接通时，执行图6示出的控制处理。

步骤S21：软件切换单元19判断在车辆的电源接通之前是否指示了软件的切换。在稍后描述的步骤S28中做出将车载装置A至D的当前版本的软件切换至先前版本的软件的指示的情况下，步骤S21是在做出指示之后第一次接通电源时执行软件的切换所需的判断步骤。可以基于设定在非易失性存储区域中的标志来判断在车辆的电源接通之前是否指示了软件的切换。当步骤S21中的判断结果为“是”时，处理转至步骤S22。否则，处理转至步骤S23。

步骤S22：当在步骤S21中判断指示了软件的切换时，软件切换单元19将执行目标软件从当前版本的软件Sa_cur切换至先前版本的软件Sa_old。软件切换单元19还将判断单元13使用的一致性信息从当前版本的一致性表格T_cur切换至先前版本的一致性表格T_old。

尽管省略了说明，在被指示以切换软件的其他车载装置中，与代表性车载装置A中软件被切换的时间并行地，软件切换单元23将执行目标软件从当前版本的软件切换至先前版本的软件。

步骤S23：版本获取单元12获取其他车载装置B至D的软件的版本。然后，处理转至步骤S24。

步骤S24：判断单元13通过将代表性车载装置A的软件的版本和从其他车载装置B至D获取的软件的版本与一致性信息存储单元11中存储的一致性表格进行比较，判断车载装置A至D的软件的版本是否是一致的。当步骤S24中的判断结果为“是”时，处理转至步骤S25。否则，处理转至步骤S26。

步骤S25：判断单元13允许使用车载装置A至D的组合的车辆控制的执行。然后，判断单元结束该处理。

步骤S26：发送单元14判断是否能够与外部服务器2进行通信。发送单元14能够基于例如接收单元15接收的无线信号的信号强度来判断是否建立了与外部服务器2的通信。当步骤S26中的判断结果为“是”时，处理转至步骤S29。否则，处理转至步骤S27。

步骤S27：判断单元13禁止使用车载装置A至D的组合的车辆控制的执行。然后，处理转至步骤S28。

步骤S28：切换指示单元18指示需要将软件从当前版本的软件切换至先前版本的软件的车载装置，将当前版本的软件切换至先前版本的软件。然后，切换指示单元18结束该处理。

当切换指示单元18指示车载装置A至D切换软件时，代表性车载装置A可以通知用户该软件被切换了。代表性车载装置A还可以鼓励用户在完成切换软件的处理的准备时，临时地断开、随后接通车辆的电源。

步骤S29：发送单元14将包括代表性车载装置A的软件的版本和从其他车载装置B至D获取的软件的版本的版本信息发送至外部服务器2。然后，处理转至步骤S30。

步骤S30：接收单元15判断是否从外部服务器2接收到判断结果信息。当步骤S30中的判断结果为“是”时，处理转至步骤S31。否则，在等待预定时间之后，接收单元15再次执行步骤S30的判断步骤。当在步骤S30中接收单元15无法从外部服务器2接收判断结果信息的状态持续了预定时间(超时时间)时，接收单元15判断超时，并且结束步骤S30的处理。然后处理进行至步骤S31。

步骤S31：判断单元13基于从外部服务器2接收的判断结果信息来判断车载装置A至D的软件的版本是否是一致的。当步骤S31中的判断结果为“是”时，处理转至步骤S32。否则，处理转至步骤S34。当在步骤S30中接收单元15判断超时时，判断单元13判断车载装置A至D的软件的版本是不一致的。

步骤S32：判断单元13允许使用车载装置A至D的组合的车辆控制的执行。然后，处理转至步骤S33。

步骤S33：一致性信息更新单元16更新一致性信息存储单元11中存储的一致性信息。然后，一致性信息更新单元16结束该处理。

步骤S34：判断单元13禁止使用车载装置A至D的组合的车辆控制的执行。然后，处理转至步骤S35。

步骤S35：更新指示单元17指示保存有与一致性信息存储单元11中存储的一致性表格不一致的版本的软件的车载装置进行软件更新。然后，更新指示单元17结束该处理。

当更新指示单元17指示软件更新，并且待更新的车载装置完成来自服务器2的更新后的软件的接收时，可以鼓励用户临时地断开、随后再次接通车辆的电源，以便将执行目标软件从当前版本的软件切换至更新后的软件。

效果

在根据本实施例的车辆控制系统200中，如在第一实施例中，在车辆的电源接通时判断车载装置A至D的软件的版本是否是一致的。这使得能够进一步地降低由于车载装置A至D的软件的不一致的版本而导致执行非预期的车辆控制的可能性。

此外，在根据本实施例的车辆控制系统200中，每个车载装置保存有先前版本的软件，并且代表性车载装置A保存有先前版本的一致性表格。因此，当代表性车载装置A判断车载装置A至D的软件的版本是不一致的，但代表性车载装置A和外部服务器2不处于可通信的状态时，能够切换至先前版本的软件。根据该配置，当软件的最新版本是不一致的，并且代表性车载装置A无法与外部服务器进行通信时，能够确保车载装置A至D的软件的版本的一致性。

还能够构成这样的车辆控制系统：其中一致性信息更新单元16或更新指示单元17被从图5示出的代表性车载装置A的功能框图中排除。

第三实施例

配置

图7为用于描述根据第三实施例的车辆控制系统的背景的示意图。

构成车辆控制系统300的车载装置A至D具有在车辆装运时一致的版本Sa至Sd(图7的左栏)。因为由于车载装置A至D的更换或车载装置A至D中包含的部件(例如基板)的更换而导致的版本不匹配，车载装置A至D的软件的版本的一致性可能受影响。例如，假设车载装置C发生故障(图7的中间栏)，并且故障车载装置C被更换为新的车载装置的情况。作为更换的结果，新的车载装置C的软件Sc’的版本可能与更换之前的软件Sc的版本不同(图7的右栏)。在该情况下，新的车载装置C的软件Sc’的版本不必与车载装置A、B、D的软件的版本一致。基于软件Sc’的版本，仅通过由代表性车载装置A执行的一致性确认处理可能难以确认车载装置A至D的软件一致性。在车辆被用于没有充分的无线通信环境的地方(例如地下或山区)的情况下，难以通过与外部服务器的通信来确认一致性。这可能导致这样的情形：通过车载装置A至D的组合实现的车辆控制功能被假定为是受限的，或者软件更新被假定为是耗时的。因此，可能使得用户的便利性变差。

在假设这些问题的情况下，根据第三实施例的车辆控制系统的特点在于，即使在需要修理或更换车载装置A至D时，也能够迅速地确保车载装置A至D的软件的版本的一致性。下文主要给出了本实施例与第一实施例的区别的描述。

图8为根据第三实施例的车辆控制系统的功能框图。

代表性车载装置A

除了第一实施例中描述的软件存储单元10、一致性信息存储单元11、版本获取单元12、判断单元13、发送单元14、和接收单元15，代表性车载装置A还包括软件获取单元40和软件更新单元41。

当其他车载装置B至D中的任何一个车载装置发生故障，并且需要更换或修理时，软件获取单元40在能够与外部服务器2通信的情况下，从外部服务器2获取故障车载装置的当前版本的软件，并且存储所获取的软件。软件获取单元40能够基于自故障车载装置输出的故障通知来检测车载装置B至D中任何一个车载装置的故障的发生。图7和图8示出了车载装置C发生故障的示例。软件获取单元40从外部服务器2获取与车载装置A、B、D的软件Sa、Sb、Sd的版本一致的车载装置C的软件Sc，并且存储所获取的软件Sc。软件获取单元40从外部服务器2获取的软件的版本可以通过通信从故障车载装置C获取，或者可以从一致性信息存储单元11中存储的一致性表格获取。

当判断单元13判断在更换或修理故障车载装置之后，车载装置A至D的软件的版本是不一致的，并且判断保存有被判断为与一致性表格不一致的版本的软件的车载装置是更换后或修理后的车载装置时，软件更新单元41将待存储在软件获取单元40中的软件写入更换后或修理后的车载装置的软件存储单元20中。然后，软件更新单元41指示更换后或修理后的车载装置切换软件。

在软件更新单元41指示软件的切换的情况下，当车辆的电源下一次接通时，版本获取单元12和判断单元13确认车载装置A至D的软件的版本的一致性。由版本获取单元12和判断单元13执行的处理与当电源接通时执行的正常处理相同。

车载装置B至D

车载装置B至D还可以包括与第二实施例中描述的软件切换单元相同的软件切换单元23。当软件更新单元41指示软件的切换时，软件切换单元23将执行目标软件从当前版本的软件切换至由软件更新单元41写入的软件。当车辆的电源下一次接通时，软件切换单元23在确认车载装置A至D的软件的版本的一致性的处理之前切换软件。

控制处理

下面将结合图8至图10描述由代表性车载装置A执行的控制处理。

图9是示出由根据第三实施例的车辆控制系统中的代表性车载装置执行的软件获取处理的一示例的流程图。

步骤S41：接收单元15判断是否从其他车载装置B至D接收到故障通知。当步骤S41中的判断结果为“是”时，处理转至步骤S42。否则，接收单元15结束该步骤。

步骤S42：软件获取单元40从外部服务器2获取车载装置的当前版本的软件，并且存储所获取的软件。然后，软件获取单元40结束该处理。

图10是示出由根据第三实施例的车辆控制系统中的代表性车载装置执行的确认一致性的处理的一示例的流程图。当车辆的电源接通时，执行图10示出的控制处理。

步骤S51：版本获取单元12获取其他车载装置B至D的软件的版本。然后，处理转至步骤S52。

步骤S52：判断单元13通过将代表性车载装置A的软件的版本和从其他车载装置B至D的软件的版本与一致性信息存储单元11中存储的一致性表格进行比较，判断车载装置A至D的软件的版本是否是一致的。当步骤S52中的判断结果为“是”时，处理转至步骤S53。否则，处理转至步骤S54。

步骤S53：判断单元13允许使用车载装置A至D的组合的车辆控制的执行。然后，判断单元13结束该处理。

步骤S54：判断单元13判断具有与一致性表格不一致的版本的软件的车载装置是否是更换后或修理后的车载装置。基于图9的步骤S41中接收到的故障通知能够识别车载装置是否被更换或被修理。当步骤S54中的判断结果为“是”时，处理转至步骤S55。否则，处理转至步骤S56。

步骤S55：软件更新单元41将待存储在软件获取单元40中的软件写入更换后或修理后的车载装置的软件存储单元20的特定区域中。然后软件更新单元41指示更换后或修理后的车载装置进行软件的更新。然后，结束该处理。

步骤S56：判断单元13禁止使用车载装置A至D的组合的车辆控制的执行。然后，判断单元13结束该处理。

当软件更新单元41指示软件的切换时，可以鼓励用户临时地断开、随后再次接通车辆的电源，以便将更换后或修理后的车载装置的执行目标软件从当前版本的软件切换至更新后的软件。代表性车载装置A可以临时地断开、随后再次接通被软件更新单元41指示切换软件的车载装置的电源。在被软件更新单元41指示切换软件的车载装置中，在电源下一次接通时，软件切换单元23将执行目标软件切换至由软件更新单元41写入软件存储单元20的软件。

效果

在根据本实施例的车辆控制系统300中，如的第一实施例中，在车辆的电源接通时判断车载装置A至D的软件的版本是否是一致的。这使得能够进一步地降低由于车载装置A至D的软件的不一致的版本而导致执行非预期的车辆控制的可能性。

此外，在根据本实施例的车辆控制系统300中，当由于故障而导致需要更换或修理车载装置B至D时，代表性车载装置A预先从外部服务器2获取预先确认为一致的的故障车载装置的软件。在更换或修理故障车载装置之后，当更换后或修理后的车载装置的软件的版本与一致性表格不一致时，代表性车载装置A预先将不一致的软件与从外部服务器2获取的软件进行切换。因此，即使当由于车载装置的更换或修理而导致车载装置A至D的软件的版本是不一致的，并且没有充分的无线通信环境时，也能够迅速地恢复车载装置A至D为一致的的状态。因此，能够在早期阶段消除对通过车载装置A至D的组合实现的车辆控制功能的限制，因此能够提高用户的便利性。

根据第三实施例的用于确认软件一致性的方法可以与根据第一实施例的车辆控制系统100、或者根据第二实施例的车辆控制系统200进行结合。具体地，根据第一实施例的车辆控制系统100、或者根据第二实施例的车辆控制系统200还可以包括软件获取单元40和软件更新单元41，并且代表性车载装置A配置为能够执行图9中示出的步骤S41、S42的处理以及图10中示出的步骤S54、S55的处理。在判断单元13判断软件的版本是不一致的的初次检查之后，且在外部服务器2执行二次检查之前，优选地执行图10是示出的步骤S54、S55的处理。利用该配置，优先利用代表性车载装置A中保存的信息来判断一致性，并且在仅通过代表性车载装置A难以做出判断时，执行外部服务器2中的二次检查。因此，在没有通信的情况下能够有效地执行判断软件一致性的处理。当存在判断车辆与外部服务器2之间的通信是否可行的步骤(图6的S26)，并且车辆无法与外部服务器2进行通信时，可以执行图10中的步骤S54、S55的处理。

其他修改

可以利用专用电路、或者可以通过使计算机(例如具有处理器、只读存储器(ReadOnly Memory,ROM)、随机存取存储器(Random Access Memory,RAM)、硬盘等的ECU)执行各步骤的处理来实现图4、图6、图9和图10的控制处理。当使得计算机(例如ECU)执行图4、图6、图9和图10的控制处理时，描述为能够执行控制处理的程序可以预先存储在存储装置(例如ROM或硬盘)中，以使得可以从存储装置中读取该程序，并且由计算机中包含的处理器执行该程序。

在上述的实施例中，提供车辆控制系统的控制功能的其中一个车载装置作为代表性车载装置确认了软件的版本的一致性。然而，上述的控制处理可以由专用于确认软件的版本的一致性的车载装置执行。

本发明能够用于利用多个车载装置的组合实现特定车辆控制功能的车辆控制系统。

Claims (8)

1.一种车辆控制系统，其特征在于，包括多个车载装置，其中，

所述多个车载装置中的任何一个车载装置是特定车载装置，并且

该特定车载装置包括：

第一一致性信息存储单元，其配置为预先存储第一一致性信息，该第一一致性信息包括构成所述车辆控制系统的全部车载装置的软件的版本的允许组合；

版本获取单元，其配置为当车辆的电源接通时，获取其他车载装置中包含的软件的版本，所述其他车载装置为除了所述特定车载装置之外的车载装置；以及

第一判断单元，其配置为当所述版本获取单元从所述其他车载装置获取软件的版本时，通过将所述特定车载装置的软件的版本和从所述其他车载装置获取的软件的版本与所述第一一致性信息进行比较，判断构成所述车辆控制系统的全部车载装置的软件的版本是否是一致的。

2.根据权利要求1所述的车辆控制系统，其特征在于，所述特定车载装置还包括：

第一发送单元，其配置为当所述第一判断单元判断构成所述车辆控制系统的全部车载装置的软件的版本是不一致的时，将包括构成所述车辆控制系统的全部车载装置的软件的版本的版本信息发送至外部服务器；以及

接收单元，其配置为从所述外部服务器接收判断结果信息，该判断结果信息为关于由所述外部服务器基于由所述第一发送单元发送的所述版本信息而判断的判断结果的信息，所述判断结果信息表示构成所述车辆控制系统的全部车载装置的软件的版本是否是一致的。

3.根据权利要求2所述的车辆控制系统，其特征在于，

所述多个车载装置分别配置为保存当前版本的软件和先前版本的软件，

所述第一一致性信息存储单元配置为存储所述当前版本中的第一一致性信息和所述先前版本中的第一一致性信息，

所述特定车载装置还包括切换指示单元，该切换指示单元配置为当所述第一发送单元无法与所述外部服务器进行通信时，指示所述其他车载装置将执行目标软件切换至先前版本的软件，

所述版本获取单元配置为在所述切换指示单元指示切换软件之后，从所述其他车载装置获取切换后的软件的版本，并且

所述第一判断单元配置为通过将切换后的所述特定车载装置的软件的版本和从切换后的所述其他车载装置获取的软件的版本与所述先前版本中的第一一致性信息进行比较，判断构成所述车辆控制系统的全部车载装置的软件的版本是否是一致的。

4.根据权利要求1所述的车辆控制系统，其特征在于，所述特定车载装置还包括：

软件获取单元，其配置为当所述其他车载装置中的任何一个车载装置发生故障时，从外部服务器获取在故障车载装置发生故障时刻的版本的软件，并且保存该软件；以及

软件更新单元，其配置为当所述车载装置被更换或修理、随后所述第一判断单元判断更换后或修理后的车载装置的软件的版本与所述第一一致性信息是不一致的时，利用所述软件获取单元中保存的软件来更新所述更换后或修理后的车载装置的软件，

所述版本获取单元配置为在所述软件更新单元更新软件之后，从所述其他车载装置获取软件的版本，并且

所述第一判断单元配置为通过将所述特定车载装置的软件的版本和从所述其他车载装置获取的软件的版本与所述第一一致性信息进行比较，判断构成所述车辆控制系统的全部车载装置的软件的版本是否是一致的。

5.根据权利要求2所述的车辆控制系统，其特征在于，所述外部服务器包括：

第二一致性信息存储单元，其配置为预先存储第二一致性信息，该第二一致性信息包括构成所述车辆控制系统的全部车载装置的软件的版本的允许组合；

第二判断单元，其配置为基于从所述第一发送单元发送的所述版本信息，通过将构成所述车辆控制系统的全部车载装置的软件的版本与所述第二一致性信息进行比较，判断构成所述车辆控制系统的全部车载装置的软件的版本是否是一致的；以及

第二发送单元，其配置为将所述第二判断单元作出的判断结果作为所述判断结果信息发送至所述特定车载装置。

6.根据权利要求5所述的车辆控制系统，其特征在于，所述特定车载装置还包括一致性信息更新单元，其配置为当所述第二判断单元判断构成所述车辆控制系统的全部车载装置的软件的版本是一致的时，更新所述第一一致性信息存储单元中存储的所述第一一致性信息。

7.根据权利要求5所述的车辆控制系统，其特征在于，所述特定车载装置还包括更新指示单元，该更新指示单元配置为当所述第二判断单元判断构成所述车辆控制系统的全部车载装置的软件的版本是不一致的时，指示保存有与所述第二判断单元进行判断所使用的所述第二一致性信息不一致的版本的软件的车载装置进行软件更新。

8.一种用于确认软件一致性的方法，该方法在包括多个车载装置的车辆控制系统中的所述多个车载装置中的任何一个特定车载装置中包含的计算机中执行，其特征在于，所述方法包括：

预先存储第一一致性信息，该第一一致性信息包括构成所述车辆控制系统的全部车载装置的软件的版本的允许组合；

当车辆的电源接通时，获取其他车载装置中的软件的版本；以及

当从所述其他车载装置获取了软件的版本时，通过将所述特定车载装置的软件的版本和从所述其他车载装置获取的软件的版本与所述第一一致性信息进行比较，判断构成所述车辆控制系统的全部车载装置的软件的版本是否是一致的。