CN110494847A - 中继设备、传送方法和计算机程序 - Google Patents

Abstract

根据本发明的中继设备将从服务器下载的用于车内控制装置的控制程序的更新程序传送到所述车内控制装置，所述中继设备包括：计算单元，其计算指标值，所述指标值指示所述控制程序的大小和所述更新程序的大小的比例；和传送控制单元，其基于计算出的所述指标值确定所述传送是否是可能的。

Description

中继设备、传送方法和计算机程序

相关申请的交叉引用

本申请要求于2017年4月12日提交的日本专利申请No.2017-078837的优先权，其全部内容通过引用并入本文。

技术领域

本发明涉及中继设备、传送方法和计算机程序。

背景技术

在近些年的汽车领域，车辆功能已经变得先进，并且在车辆中安装了各种各样的装置。因此，车辆配备有大量控制装置(所谓的ECU(电子控制单元))来控制这些车载装置。

每个车辆配备有各种类型的ECU，如：行进类型的ECU，其响应于对加速器、制动器和把手的操作而控制发动机、制动器、EPS(电动助力转向)等；车身类型的ECU，其响应于由使用人执行的切换操作而控制内部灯和前灯的开/关、警报单元的声音等；和仪表类型的ECU，其控制布置在驾驶员座位附近的仪表的操作。

通常，每个ECU包括算术处理单元(如，微型计算机)并通过读出存储在ROM(只读存储器)中的控制程序并执行读出的控制程序来实施对车载装置的控制。

ECU的控制程序可以是不同的，这取决于车辆的目的地、级别等。因此，响应于控制程序的更新，需要用新版本的控制程序覆写旧版本的控制程序。此外，还需要覆写执行控制程序所需的数据，如，地图信息和控制参数。

例如，专利文献1公开了经由网络下载更新程序并执行程序的更新的技术(在线更新功能)。

引用列表

专利文献

专利文献1：日本特开专利公开No.2015-37938

发明内容

根据一个实施例的中继设备是这样的中继设备，其被配置为将从服务器下载的用于车载控制装置的控制程序的更新程序传送到所述车载控制装置。所述中继设备包括：计算单元，其被配置为计算指标值，所述指标值指示所述控制程序的大小和所述更新程序的大小之间的比例；和传送控制单元，其被配置为基于计算出的所述指标值确定是否允许所述传送。

根据另一实施例的传送方法是这样的方法，其将从服务器下载的用于车载控制装置的控制程序的更新程序传送到所述车载控制装置。所述方法包括：计算指标值，所述指标值指示所述控制程序的大小和所述更新程序的大小之间的比例；和基于所述指标值确定是否允许所述传送。

根据又一实施例的计算机程序是用于使计算机用作中继设备的计算机程序，所述中继设备被配置为将从服务器下载的用于车载控制装置的控制程序的更新程序传送到所述车载控制装置。所述计算机程序使所述计算机用作：计算单元，其被配置为计算指标值，所述指标值指示所述控制程序的大小和所述更新程序的大小之间的比例；和传送控制单元，其被配置为基于计算出的所述指标值确定是否允许所述传送。

附图说明

图1是示出程序更新系统的整体配置的示图。

图2是示出网关的内部配置的框图。

图3是示出ECU的内部配置的框图。

图4是示出管理服务器的内部配置的框图。

图5是示出在程序更新系统中执行的控制程序的在线更新的流程的示例的顺序图。

图6是示出根据第一实施例的程序更新系统中的下载控制过程的具体内容的流程图。

图7是示出根据第二实施例的程序更新系统中的下载控制过程的具体内容的流程图。

具体实施方式

<本公开要解决的问题>

如专利文献1中公开的那样执行在线更新可能由于更新处理而导致与在线更新相关的装置配置上的负载(如，通信负载的增加)和存储器容量的降低。同时，如果这种在线更新被完全拒绝，则每个更新都需要通过经销商等的更新工作，这降低了用户的方便性。

本公开的一个方面的目的是提供一种中继设备、一种传送方法和一种计算机程序，其可以在更新控制数据时实现以下两方面的改善：用户的方便性以及避免与在线更新相关的装置配置上的负载。

<本公开的效果>

根据本公开，可以实现以下两方面的改善：用户的方便性以及避免与在线更新相关的装置配置上的负载。

[实施例的描述]

本公开的实施例至少包括以下。

(1)本实施例中包括的中继设备是这样一种中继设备，其被配置为将从服务器下载的用于车载控制装置的控制程序的更新程序传送到车载控制装置。中继设备包括：计算单元，其被配置为计算指标值，指标值指示控制程序的大小和更新程序的大小之间的比例；和传送控制单元，其被配置为基于计算出的指标值确定是否允许所述传送。

存在以下情况：与在线更新相关的装置配置(如，车载控制装置连接到的车内通信线路的可用带宽，和车载控制装置中的存储器的大小)与车载控制装置的控制程序的大小相关。在此情况下，基于指示控制程序的大小和更新程序的大小之间的比例的指标值，来执行是否允许将更新程序传送到车载控制装置的确定，从而根据与在线更新相关的装置配置执行传送。因此，通过适当设置允许传送的比例，可以实现以下两方面的改善：用户的方便性以及避免与在线更新相关的装置配置上的负载。

(2)优选地，指标值是指示更新程序的大小与控制程序的大小的比例的值。在指标值等于或小于阈值时，传送控制单元开始所述传送，并且在指标值大于阈值时，传送控制单元不开始所述传送。

通过适当设置阈值，在防止了通过在线更新执行大规模的更新的同时可以通过在线更新执行其他更新。因此，可以实现以下两方面的改善：用户的方便性以及避免与在线更新相关的装置配置上的负载。

(3)优选地，中继设备经由车内通信线路连接到车载控制装置，且传送控制单元根据车内通信线路的可用带宽来改变阈值。

由于根据连接到车载控制装置的车内通信线路的可用带宽来改变阈值，因此，通过使用根据待用于传送的车内通信线路的阈值来确定是否允许所述传送。通过将阈值设置为这样的指标值：在该指标值处通过车内通信线路的通信上的负载大，可以拒绝具有通过车内通信线路的通信上的大负载的更新程序的传送。因此，可以降低由于所述传送导致的车内通信线路上的负载。

(4)优选地，中继设备经由车内通信线路连接到车载控制装置，且传送控制单元根据连接到车内通信线路的一个或多个车载控制装置的操作状态来改变阈值。

可用于传送更新程序的车内通信线路的带宽根据连接到车内通信线路的一个或多个车载控制装置的操作状态而变化。因此，通过根据所述操作状态将阈值改变为这样的指标值：在该指标值处通过车内通信线路的通信上的负载大，可以拒绝在传送更新数据时会导致通过车内通信线路的通信上的大负载的更新程序的传送。因此，可以禁止由于所述传送导致的车内通信线路上的负载。

(5)优选地，在指标值大于阈值的情况下，且在更新数据满足预定暂停条件的时段期间，传送控制单元根据所述操作状态改变阈值，并且再次确定是否允许所述传送。

存在以下情况：如果阈值改变且随后所述操作状态改变，则可以允许在之前的时间点处不被允许的更新程序的传送。因此，能够改善用户的方便性。

(6)优选地，所述操作状态包括安装了车载控制装置的车辆的行进速度。

在车辆的行进速度高时，在车内网络上交换更多信息。因此，通过使用根据车辆的行进速度的阈值，能够以较高精度确定是否允许所述传送。

(7)优选地，中继设备连接到用户接口装置。在传送控制单元不允许所述传送的情况下，传送控制单元输出使用户接口装置通知不允许所述传送的控制信号。

用户接口装置是例如显示器、扬声器等。输出到用户接口装置的控制信号使用户接口装置通知未将更新程序传送到车载控制装置，换句话说，未执行在线更新。该通知允许用户对控制程序的更新采取必要的对策。因此，能够改善用户的方便性。

(8)优选地，在传送控制单元允许所述传送时，传送控制单元开始从服务器的下载。

中继设备开始从服务器下载更新程序，并将下载的更新程序传送到车载控制装置。因此，下载的更新程序无需存储长时间段从而防止存储器受到压迫。

(9)包括在本公开的实施例中的传送方法是这样一种方法，其在根据上述(1)至(8)中任一项的中继设备中将从服务器下载的用于车载控制装置的控制程序的更新程序传送到车载控制装置。

该下载方法提供与根据上述(1)至(8)的中继设备的效果相同的效果。

(10)包括在本公开的实施例中的计算机程序使计算机用作根据上述(1)至(8)中任一项的中继设备。

该计算机程序提供与根据上述(1)至(8)的中继设备的效果相同的效果。

[实施例的详细描述]

在下文中，将参考附图描述优选实施例。在以下描述中，相同附图标记指代相同组件和构成要素。其名称和功能也相同。因此，不必重复其描述。

<第一实施例>

[系统的整体配置]

图1是示出根据实施例的程序更新系统的整体配置的示图。

如图1所示，本实施例的程序更新系统包括车辆1、管理服务器5和DL(下载)服务器6，它们可经由广域通信网络2彼此连接。

管理服务器5管理每个车辆1的更新信息。DL服务器6将更新程序存储在其中。管理服务器5和DL服务器6由例如车辆1的汽车制造商操作且可与由预先注册为会员的用户所拥有的大量车辆1通信。

每个车辆1设置有：车内网络(通信网络)4，其包括经由车内通信线路16连接的多个ECU 30和网关10；和由相应ECU 30控制的各种车载装置(未示出)。车载装置包括用户接口装置7，如显示器或扬声器。

车内网络4具有多个车内通信线路16A和16B且包括多个通信组，每个通信组包括多个ECU 30，其通过总线连接到相应车内通信线路16A和16B。网关10中继通信组之间的通信。因此，车内通信线路16A和16B连接到网关10。车内通信线路16A和16B还统称为车内通信线路16。

无线通信单元15可通信地连接到广域通信网络2(如，移动电话网络)且经由车内通信线路连接到网关10。无线通信单元15经由广域通信网络2从外部装置(如，管理服务器5和DL服务器6)接收信息，且网关10经由车内通信线路16将信息发送到ECU 30。

网关10将从ECU 30获得的信息发送到无线通信单元15，且无线通信单元15将信息发送到外部装置，如管理服务器5。

ECU 30经由车内通信线路16交换信息。

对于安装在车辆1中的无线通信单元15，除了车载独有的通信终端以外，诸如用户拥有的移动电话、智能电话、平板电脑式终端和笔记本PC(个人计算机)的装置也是容易想到的。

图1示出网关10经由无线通信单元15与外部装置通信的示例性情况。然而，如果网关10具有无线通信功能，则网关10本身可以与外部装置(如，管理服务器5)无线通信。

在图1所示的程序更新系统中，管理服务器5和DL服务器6被配置为单独的服务器。然而，这些服务器5和6可被配置为单个服务器单元。管理服务器5和DL服务器6中的每个可以包括多个装置。

[网关的内部配置]

图2是示出网关10的内部配置的框图。

如图2所示，网关10包括CPU 11、RAM(随机存取存储器)12、存储单元13、车内通信单元14等。尽管网关10经由车内通信线路连接到无线通信单元15，但是网关10和无线通信单元15可以彼此集成为单个装置。

CPU 11通过将存储在存储单元13中的一个或多个程序读出到RAM 12并执行所读取的程序，来使网关10用作用于中继各种类型的信息的中继设备。

例如，CPU 11可以通过分时方式在程序之间切换来并行地执行多个程序。CPU 11可以是表示多个CPU组的CPU。在此情况下，待由CPU 11实现的功能是待由多个CPU组彼此合作实现的功能。RAM 12包括存储器元件，如，SRAM(静态RAM)或DRAM(动态RAM)，并在其中临时存储待由CPU 11执行的程序、执行程序所需的数据等。

由CPU 11实现的计算机程序可以在被记录在已知记录介质(如，CD-ROM或DVD-ROM)中的状态下被传送，或者可以通过来自计算机装置(如，服务器计算机)的数据传输而被传送。

在本方面中，这同样适用于由稍后描述的ECU 30(参考图3)的CPU 31执行的计算机程序和由稍后描述的管理服务器5(参考图4)的CPU 51执行的计算机程序。

在以下说明中，从主机装置到客户端装置的数据传送(传输)还称为“下载”。

存储单元13包括非易失性存储器元件，如闪存或EEPROM等。存储单元13在其中存储待由CPU 11执行的程序、执行程序所需的数据等，还在其中存储从DL服务器6接收的相应ECU 30的待下载的更新程序等。

多个ECU 30经由布置在车辆1中的车内通信线路16连接到车内通信单元14。例如，车内通信单元14根据CAN(控制器局域网)的标准与ECU 30通信。车内通信单元14可采用的通信标准不限于CAN。可采用其他标准，如CANFD(具有灵活的数据速率的CAN)、LIN(本地互联网络)、以太网(注册商标)或MOST(面向媒体的系统传输：MOST是注册商标)。多个车内通信线路16A和16B可包括基于不同通信标准的通信线路。

车内通信单元14将从CPU 11提供的信息发送到目标ECU 30，以及将从ECU 30接收到的信息提供到CPU 11。除了以上通信标准，车内通信单元14还可以根据用于车内网络4的其他通信标准与ECU 30通信。

无线通信单元15包括无线通信设备，无线通信设备包括天线和执行来自天线的无线电信号的传输/接收的通信电路。无线通信单元15在连接到广域通信网络2(如，移动电话网络)时能够与外部装置通信。

无线通信单元15经由由基站(未示出)形成的广域通信网络2将从CPU 11提供的信息发送到诸如管理服务器5的外部装置，以及将从外部装置接收到的信息提供到CPU 11。

代替图2中所示的无线通信单元15，可采用用作车辆1内的中继设备的有线通信单元。该有线通信单元具有与符合诸如USB(通用串行总线)或RS232C之类的标准的通信线缆连接的连接器，且经由通信线缆与连接到该有线通信单元的另一通信装置执行有线通信。

如果其他通信装置和外部装置(如，管理服务器5)可以经由广域通信网络2彼此无线地通信，则外部装置和网关10变得可通过顺序地由外部装置、其他通信装置、有线通信单元和网关10构成的通信路径而彼此通信。

[ECU的内部配置]

图3是示出ECU 30的内部配置的框图。

如图3所示，ECU 30包括CPU 31、RAM 32、存储单元33、通信单元34等。ECU 30是车载控制装置，其单独控制安装在车辆1中的目标装置。ECU 30的类型的示例包括电源控制ECU、发动机控制ECU、转向控制ECU和门锁控制ECU。

CPU 31通过将之前存储在存储单元33中的一个或多个程序读出到RAM 32并执行所读取的程序，来控制在CPU 31的掌控下的目标装置的操作。CPU 31还可以是表示多个CPU组的CPU，且待由CPU 31执行的控制可以由多个CPU组彼此合作执行。

RAM 32包括存储器元件，如SRAM或DRAM，并在其中临时存储待由CPU 31执行的程序、执行程序所需的数据等。

存储单元33例如包括诸如闪存或EEPROM的非易失性存储器元件或者诸如硬盘的磁存储装置。

存储单元33在其中存储待由CPU 31读取和执行的程序。在存储单元33中存储的信息的示例包括：计算机程序，其使CPU 31执行用于控制作为车内控制目标的目标装备的信息处理；以及作为待用于执行程序的数据(如，参数和地图信息)的控制程序。

网关10经由布置在车辆1中的车内通信线路16连接到通信单元34。

例如，通信单元34根据诸如CAN、以太网或MOST之类的标准与网关10通信。

通信单元34将从CPU 31提供的信息发送到网关10，以及将从网关10接收到的信息提供到CPU 31。除了以上通信标准，通信单元34还可以根据用于车载网络的其他通信标准与网关10通信。

ECU 30的CPU 31包括启动单元35，启动单元35将由CPU 31执行的控制模式在“正常模式”和“重编程模式”(在下文中，还称为“重现(repro)模式”)之间切换。

正常模式是其中ECU 30的CPU 31执行用于目标装置的原始控制(例如，用于燃料发动机的发动机控制或用于门锁电动机的门锁控制)的控制模式。

重编程模式是其中CPU 31对用于控制目标装置的控制程序进行更新的控制模式。

即，重编程模式是其中CPU 31执行将控制程序的数据从存储单元33中的ROM区域擦除/将控制程序的数据覆写在存储单元33中的ROM区域上的控制模式。CPU 31仅在该控制模式下可以将在存储单元33中的ROM区域中存储的控制程序更新到新版本。

在重现模式下，在CPU 31将新版本的控制程序写入到存储单元33中时，启动单元35临时重启(重置)ECU 30，并对其中已经写入新版本的控制程序的存储区域执行验证过程。

在完成验证过程之后，启动单元35利用更新的控制程序操作CPU 31。

经由网关10将更新程序从DL服务器6下载到ECU 30并且通过使用更新程序来更新控制程序的过程还称为在线更新。

[管理服务器的内部结构]

图4是示出管理服务器5的内部结构的框图。

如图4所示，管理服务器5包括CPU 51、ROM 52、RAM 53、存储单元54、通信单元55等。

CPU 51通过将之前存储在ROM 52中的一个或多个程序读出到RAM 53并执行所读取的程序，来控制每个硬件组件的操作，并使管理服务器5用作可与网关10通信的外部装置。CPU 51还可以是表示多个CPU组的CPU，且待由CPU 51实现的功能可以是待由多个CPU组彼此合作实现的功能。

RAM 53包括存储器元件，如SRAM或DRAM，并在其中临时存储待由CPU 51执行的程序、执行程序所需的数据等。

存储单元54例如包括诸如闪存或EEPROM的非易失性存储器元件或者诸如硬盘的磁存储装置。

通信单元55包括通信装置，其根据预定通信标准执行通信过程。通信单元55在连接到广域通信网络2(如，移动电话网络)时执行通信过程。通信单元55经由广域通信网络2将从CPU 51提供的信息发送到外部装置，以及将经由广域通信网络2接收到的信息提供到CPU 51。

[控制程序更新顺序]

图5是示出在本实施例的程序更新系统中执行的控制程序的更新流程的示例的顺序图。一个或多个更新程序存储在DL服务器6中，且例如，管理服务器5确定更新车辆1的ECU的控制程序的定时。更新定时可以由例如车辆1的汽车制造商设置。

控制程序不限于程序本身且包括待用于执行程序的数据，如参数和地图信息。术语“控制程序”表示程序和数据。同样，更新程序不仅包括用于更新程序的程序，还包括用于对用于执行程序的数据进行更新的数据。

在更新控制程序的时间已经到来时，管理服务器5通知对应车辆1的网关10更新(步骤S1)。在步骤1中，更新信息(如，更新程序的目的地URL和更新程序的大小)与下载请求一起从管理服务器5发送到网关10。

在从管理服务器5接收到更新通知时，网关10执行下载控制过程(步骤S2)。下载控制过程包括确定是否允许将更新程序传送到ECU 30以及基于确定结果执行传送的过程。稍后将详细描述该过程。

当在步骤S2中通过下载控制过程允许将更新程序传送到ECU 30时，网关10将从DL服务器6下载的更新程序中继到ECU 30。即，基于更新信息，网关10请求DL服务器6下载更新程序(步骤S3)，且更新程序被从DL服务器6下载到网关10。

在从网关10接收到下载请求时，DL服务器6将待下载的更新程序传送(中继)到网关10并请求更新控制程序(步骤S4)。

网关10下载更新程序，然后将更新程序传送到ECU 30并请求更新控制程序(步骤S5)。在从用户接收到更新许可时，网关10可以传送更新程序。

已经接收到更新程序的ECU 30响应于来自网关10的请求扩展更新程序并更新控制程序(步骤S6)。在完成更新时，目标ECU 30通知网关10更新完成(步骤S7)。在接收到该通知时，网关10通知DL服务器6更新完成(步骤S8)。

[网关的功能配置]

参考图2，网关10的CPU 11包括计算单元111和下载(DL)控制112作为用于执行下载控制过程的功能。在CPU 11读出存储在存储单元13中的一个或多个程序并执行所读取的程序时，这些功能由CPU 11实现。然而，至少一部分功能可以由硬件(如，电子电路)实现。

被表示为计算单元111的CPU 11的功能(在下文中，该功能称为“计算单元111”)计算与指示待更新的控制程序的大小X和更新程序的大小ΔX之间的比例的指标有关的指标值。计算出的指标值用于确定是否允许将更新程序传送到目标ECU 30。例如，指标值是ΔX/X。指标值可以是X/ΔX或X-ΔX。

计算单元111可以预先存储大小X或者可以从目标ECU 30获取大小X。计算单元111从供应自管理服务器5的更新信息读取大小ΔX。

由DL控制单元112表示的CPU 11的功能(在下文中，该功能称为“DL控制单元112”)基于指标值确定是否允许将更新程序传送到ECU 30。在确定结果为肯定时，即，在允许传送时，开始从DL服务器6的下载。在确定结果为否定时，即，在不允许传送时，不执行下载。

DL控制单元112预先存储允许传送的指标值ΔX/X的阈值Th。DL控制单元112基于指标值ΔX/X和阈值Th之间的比较结果确定是否允许传送。即，在指标值ΔX/X等于或小于阈值Th时，DL控制单元112确定将更新程序传送到ECU 30，即，确定开始从DL服务器6的下载。在指标值ΔX/X大于阈值Th时，DL控制单元112确定不将更新程序传送到ECU 30，即，确定不执行下载。

指标值ΔX/X大于阈值Th意味着待更新的数据的比例相对于控制程序大，这意味着更新的规模大。指标值ΔX/X等于或小于阈值Th意味着待更新的数据的比例相对于控制程序小，这意味着更新的规模小。

[下载控制过程]

图6是示出根据第一实施例的程序更新系统中的下载控制过程的具体内容的流程图。在网关10的CPU 11通过将存储在存储单元13中的一个或多个程序读出到RAM 12上并执行所读取的程序来实现计算单元111和DL控制单元112的功能时，执行图6的流程图中示出的过程。在CPU 11已经被激活时，以预定定时(如，预定时间间隔)重复执行图6中示出的过程。

参考图6，CPU 11确定是否已经从管理服务器5通知了控制程序的更新，即，是否存在待下载的更新程序(步骤S101)。在不存在待下载的更新程序时(步骤S101为否)，CPU 11不执行后续操作且待机直到下一预定定时到来。

在存在待下载的更新程序时(步骤S101为是)，CPU 11从接收自管理服务器5的更新通知获取大小ΔX。此外，CPU 11从目标ECU 30获取大小X。然后，CPU 11计算指标值ΔX/X(步骤S103)。

CPU 11比较指标值ΔX/X与预先存储的阈值Th(步骤S105)。在指标值ΔX/X等于或小于阈值Th时(步骤S105为否)，CPU 11允许将更新程序传送到ECU 30(步骤S107)。在此情况下，CPU 11从图5中的步骤S3起执行操作。

在指标值ΔX/X大于阈值Th时(步骤S105为是)，CPU 11不允许将更新程序传送到ECU 30。在此情况下，CPU 11将使用户接口装置7做出通知的控制信号输出到控制用户接口装置7的ECU 30。因此，通过用户接口装置执行通知(步骤S109)。在此情况下，不执行从图5中的步骤S3起的操作。

步骤S109中的通知的示例包括：指示更新程序未被传送到ECU 30的通知；敦促用户停止车辆1并将车辆1设置到重现模式中的通知；和敦促经销商更新控制程序的通知。该通知允许用户知道更新程序未被传送到ECU 30，换句话说，未执行在线更新。因此，用户可以针对控制程序的更新采取对策，比如使车辆1停止并进入重现模式，或存放车辆1并要求经销商更新控制程序。

通过上述操作，对于一个更新程序，CPU 11结束是否允许将该更新程序传送到ECU30的确定。CPU 11重复上述操作。因此，CPU 11确定是否允许将下一更新程序传送到ECU30。即，在不允许将某一更新程序传送到ECU 30时，确定是否允许传送下一更新程序。在确定结果为肯定时，开始从DL服务器6下载该更新程序以及将其传送到ECU 30。因此，多个更新程序可以有效地传送到对应的ECU 30，从而有效地执行对应控制程序的更新。

[第一实施例的效果]

在根据第一实施例的程序更新系统中，在更新程序的大小ΔX小于待更新的控制程序的大小X时，换句话说，在更新的规模小于预定规模时，更新程序被传送到对应的ECU30并更新控制程序。在更新大时，更新程序未被传送到ECU 30且因此不执行在线更新。

存在以下情况：与在线更新相关的装置配置(如，目标ECU 30连接到的车内通信线路16的可用带宽(通信速率)和ECU 30中的存储单元33的存储容量)与ECU 30的控制程序的大小相关。即，在控制程序的大小大时，车内通信线路16的可用带宽或ECU 30的存储器容量根据该大小也可能是大的。在此情况下，如果通过在线更新执行大规模的更新，则该更新可能导致车内通信线路16上的通信负载增加、或ECU 30中的存储器受到压迫(oppression)。另一方面，如果针对将要被允许传送的更新程序设置统一的最大的大小，则可能存在以下情况：根据车内通信线路16，由于车内通信线路16的可用带宽大，因此通信负载没有因为传送更新程序而增加；以及，根据ECU 30，由于存储器容量大，因此更新过程不太压迫存储器。在这些情况下，如果确定不执行在线更新，则用户的方便性降低。

同时，由于根据第一实施例的程序更新系统基于大小X和大小ΔX之间的比例来确定是否允许传送更新程序，因此，在是否允许传送的确定中反映了与在线更新相关的装置配置上的负载。因此，在根据第一实施例的程序更新系统中，可以在更新控制程序的同时实现以下两方面的改善：用户的方便性以及避免与在线更新相关的装置配置上的负载。

<修改>

上述阈值Th可以根据用于传送更新程序的且ECU 30连接到的车内通信线路16的可用带宽而变化。换句话说，多个车内通信线路16A和16B可包括具有不同可用带宽的车内通信线路16。对于每个车内通信线路16的可用带宽，可以考虑对与网关10通信的通信容量(剩余容量)进行限制。

在此情况下，DL控制单元112预先存储与车内通信线路16的可用带宽对应的存储阈值Th。DL控制单元112通过使用与作为更新程序的目的地的ECU 30连接到的车内通信线路16对应的阈值Th，来确定是否允许传送更新程序。

如上所述，通过使用与将要被用于传送更新程序的车内通信线路16对应的阈值Th来确定是否允许传送更新程序。因此，可以根据将要被用于传送的车内通信线路16的可用带宽来确定是否执行传送。通过将阈值Th设置为这样的指标值：通过车内通信线路16的通信上的负载在该指标值处为大，不允许传送具有通过车内通信线路16的通信上的大负载的更新程序。因此，可以降低由于传送更新程序而导致的车内通信线路16上的负载。

[第二实施例]

在根据第一实施例的程序更新系统中，网关10预先存储阈值Th。然而，可用于传送更新程序的车内通信线路16的带宽根据一个或多个ECU 30的操作状态而变化，该一个或多个ECU 30连接到作为传送更新程序的目的地的ECU 30连接到的车内通信线路16。操作状态的示例包括：车辆1的行进速度；正在操作的(operating)ECU 30的类型和数量；所述一个或多个ECU 30的操作水平；及其组合。

例如，在车辆1的行进速度高时，在车内通信线路16上交换更多信息，因此，可用于传送更新程序的车内通信线路16的带宽变窄。进一步地，在车辆1的行进速度高时，车内通信线路16所允许的最大占用率可以被设置为低，因此，可用于传送更新程序的车内通信线路16的带宽变窄。

进一步地，多个ECU 30中的正在操作的ECU 30的数量越大，在ECU 30之间交换的信息就越多，因此，可用于传送更新程序的车内通信线路16的带宽变窄。此外，正在操作的ECU 30可在车内通信线路16上具有不同的通信量。在具有大通信量的ECU 30正在操作时，在车内通信线路16上交换更多的信息，因此，可用于传送更新程序的车内通信线路16的带宽变窄。

例如，在一个ECU 30对驾驶支持功能有贡献或多个ECU 30协作对驾驶支持功能有贡献时，车内通信线路16中的通信量可根据驾驶支持功能的支持水平而变化。在使通信量高的支持水平下，在车内通信线路16上交换更多的信息，因此，可用于传送更新程序的车内通信线路16的带宽变窄。

因此，在根据第二实施例的程序更新系统中，根据连接到车内通信线路16的一个或多个ECU 30以及作为传送目的地的ECU 30的操作状态来改变(确定)阈值Th。作为传送目的地的ECU 30可包括在所述一个或多个ECU 30中。

根据第二实施例的网关10的DL控制单元112基于以下来确定是否允许传送更新程序：控制程序的大小X和更新程序的大小ΔX之间的比例；以及连接到车内通信线路16的一个或多个ECU 30以及作为传送目的地的ECU 30的操作状态。为了考虑操作状态而确定是否允许传送的目的，根据第二实施例的DL控制单元112基于操作状态改变阈值Th。

操作状态以不固定的形式(in a fluid manner)改变。因此，即使在更新程序的指标值ΔX/X等于或大于阈值Th时，如果更新程序满足预定的暂停条件，则根据第二实施例的DL控制单元112暂停不将更新程序传送到ECU 30的确定。暂停条件的示例包括：当前时间在从更新程序已经被确定为可下载时起的预定时段内；是否传送更新程序的确定的次数在预定次数内；待下载的另一更新程序存在于DL服务器6中；以及其组合。

作为一个示例，DL控制单元112预先存储操作状态和阈值Th之间的对应关系。DL控制单元112从对应关系读取对应于操作状态的阈值Th。作为另一个示例，DL控制单元112可以预先存储阈值Th的计算公式，其中以表示操作状态的指标作为参数。在此情况下，DL控制单元112通过将表示操作状态的指标的指标值代入计算公式来计算阈值Th。例如，表示操作状态的指标是车辆1的行进速度，并且速度作为指标值被代入到计算公式。

如果不允许更新程序的传送，则在确定时不开始从DL服务器6下载该更新程序，且该更新程序作为待下载的更新程序保存在DL服务器6中。在此情况下，DL控制单元112在满足暂停条件的时段内再次确定是否允许传送该更新程序。

随着操作状态改变，阈值Th也改变。因此，即使在已经不允许更新程序的传送时，如果阈值Th改变，则也可以在某个稍后的时间点处允许传送。在此情况下，将在稍后的时间点处开始从DL服务器6的下载。

[传送控制过程]

图7是示出根据第二实施例的程序更新系统中的下载控制过程的具体内容的流程图。在网关10的CPU 11通过将存储在存储单元13中的一个或多个程序读出到RAM 12上并执行所读取的程序来实现计算单元111和DL控制单元112的功能时，还执行图7的流程图中示出的过程。在图7的流程图中，分配有与图6的流程图中的步骤序号相同的步骤序号的操作在内容上与图6的流程图中示出的操作相同。因此，将描述与图6的流程图不同的点。

参考图7，在确定是否允许更新程序的传送时，CPU 11基于该时间处的操作状态确定阈值Th(步骤S201)。然后，CPU 11比较确定好的阈值Th和指标值ΔX/X(步骤S105)。

在指标值ΔX/X大于阈值Th时(步骤S105为是)，CPU 11还确定更新程序是否满足预定暂停条件(步骤S203)。在更新程序满足暂停条件时(步骤S203为是)，CPU 11暂停不传送更新程序的确定。在此情况下，在该时间处不从DL服务器6下载更新程序，但将该更新程序保存在DL服务器6中。然后，在已经过去预定时段之后，CPU 11重新开始步骤S201的操作。

[第二实施例的效果]

在根据第二实施例的程序更新系统中，即使在之前确定时不允许更新程序的传送，也在更新程序满足预定暂停条件的时段内再次确定是否允许传送。在此程序更新系统中，阈值Th根据连接到车内通信线路16的一个或多个ECU 30以及作为传送目的地的ECU 30的操作状态的变化(该操作状态的变化发生在满足暂停条件的时段内)而改变。结果，在指标值ΔX/X变成等于或小于阈值Th时，在随后的确定时允许该更新程序的传送。在此情况下，在随后的确定时执行从DL服务器6的下载。因此，可以改善用户的方便性，且可以在执行控制程序的更新的同时避免与在线更新相关的装置配置上的负载，比如通信负载增加以及对存储器的压迫。

<修改>

在根据第一实施例和第二实施例的程序更新系统中，在将更新程序从DL服务器6下载到网关10之后执行将该更新程序传送到ECU 30。因此，在允许传送时，开始从DL服务器6的下载，而在不允许传送时，不执行从DL服务器6的下载。换句话说，在根据第一实施例和第二实施例的程序更新系统中，是否允许传送更新程序的确定也是是否允许从DL服务器6的下载的确定，因此，开始传送对应于开始下载。因此，在将更新程序从DL服务器6下载到ECU 30之前(即，在步骤S3(图5)之前)，网关10执行DL控制过程(步骤S2)。因此，防止更新程序长时间段保存在网关10的存储单元13中且防止更新程序压迫存储器。

在根据修改的程序更新系统中，在独立于将更新程序从DL服务器6下载到网关10的定时处执行将更新程序传送到ECU 30。即，网关10从DL服务器6下载更新程序并将更新程序存储在存储单元13中，并且确定是否允许将所存储的更新程序传送到ECU 30。换句话说，在根据修改的程序更新系统中，在步骤S3和步骤S4之间执行DL控制过程。

在此情况下，DL控制单元112在预定定时(如，管理服务器5请求下载的定时)处执行将更新程序从DL服务器6下载到网关10。然后，DL控制单元112确定是否允许将所存储的更新程序传送到ECU 30，以及根据确定结果开始传送。

在根据修改的程序更新系统中，可以在相应的最佳定时处执行下载和传送，从而可以有效执行在线更新。具体地，在根据第二实施例的程序更新系统中，即使在不允许传送更新程序时，也在更新程序满足暂停条件的时段内再次确定是否允许传送。在此情况下，根据修改，网关10不丢弃已经不允许传送的更新程序，而是将该更新程序保存在存储单元13中。因此，在根据再次执行的确定的结果将更新程序传送到ECU 30时，可以在无需麻烦地再次从DL服务器6下载更新程序的情况下，将更新程序传送到ECU 30。因此，可以推进更新程序从DL服务器6到ECU 30的整体传送，且可以禁止不必要的通信。

通过一个或多个模块实现所公开的特征。例如，可以通过以下来实现特征：硬件模块，如，电路元件等；软件模块，其限定实现特征的过程；或硬件模块与软件模块的组合。

所公开的特征可以被提供为用于使计算机执行上述操作的程序，其是一个或多个软件模块的组合。这种程序可以记录在计算机可读记录介质(如，软碟、CD-ROM(光盘只读存储器)、ROM、RAM、附属于计算机的存储卡)中，且这种程序可以提供为程序产品。可替代地，程序可以通过被记录在记录介质(如，安装在计算机中的硬盘)中而被提供。程序还可以通过经过网络被下载而被提供。

根据本公开的程序可以在预定定时处以预定阵列从被提供作为计算机的操作系统(OS)的一部分的程序模块中调用必要的模块，并可以使得处理被执行。在此情况下，模块不包括在程序本身中，且协同OS执行处理。根据本公开的程序还包括不包括模块的这种程序。

根据本公开的程序可以通过将其并入另一程序的一部分中来提供。在此情况下，包括在其他程序中的模块也不包括在程序本身中，且协同其他程序执行处理。根据本公开的程序还包括被并入另一程序中的这种程序。待提供的程序产品被安装在程序存储单元(如硬盘)中然后被执行。程序产品包括程序本身和记录程序的记录介质。

注意，这里公开的实施例在所有方面仅是示例性的且不应被认为是限制性的。本发明的范围不由上述说明而由权利要求的范围限定，且旨在包括与权利要求的范围以及在该范围内的所有修改等同的含义。

参考标记列表

1 车辆

2 广域通信网络

4 车内网络

5 管理服务器

6 DL服务器

7 用户接口装置

10 网关(中继设备)

15 无线通信单元

16,16A,16B 车内通信线路

11 CPU

12 RAM

13 存储单元

14 车内通信单元

30 ECU(车载控制装置)

31 CPU

32 RAM

33 存储单元

34 通信单元

35 启动单元

51 CPU

52 ROM

53 RAM

54 存储单元

55 通信单元

111 计算单元

112 DL控制单元(传送控制单元)

Claims (10)

1.一种中继设备，其被配置为将用于车载控制装置的控制程序的更新程序传送到所述车载控制装置，所述更新程序从服务器下载，所述中继设备包括：

计算单元，其被配置为计算指标值，所述指标值指示所述控制程序的大小和所述更新程序的大小之间的比例；和

传送控制单元，其被配置为基于计算出的所述指标值确定是否允许所述传送。

2.根据权利要求1所述的中继设备，其中，

所述指标值是指示所述更新程序的大小与所述控制程序的大小的比例的值，并且

在所述指标值等于或小于阈值时，所述传送控制单元开始所述传送，并且在所述指标值大于所述阈值时，所述传送控制单元不开始所述传送。

3.根据权利要求2所述的中继设备，其经由车内通信线路连接到所述车载控制装置，其中，

所述传送控制单元根据所述车内通信线路的可用带宽来改变所述阈值。

4.根据权利要求2所述的中继设备，其经由车内通信线路连接到所述车载控制装置，其中，

所述传送控制单元根据连接到所述车内通信线路的一个或多个车载控制装置的操作状态来改变所述阈值。

5.根据权利要求4所述的中继设备，其中，

在所述指标值大于所述阈值的情况下，且在所述更新数据满足预定暂停条件的时段期间，所述传送控制单元根据所述操作状态改变所述阈值，并且再次确定是否允许所述传送。

6.根据权利要求4或5所述的中继设备，其中，

所述操作状态包括安装了所述车载控制装置的车辆的行进速度。

7.根据权利要求1至6中任一项所述的中继设备，其中，

所述控制装置连接到用户接口装置，并且

在所述传送控制单元不允许所述传送的情况下，所述传送控制单元输出使所述用户接口装置通知不允许所述传送的控制信号。

8.根据权利要求1至7中任一项所述的中继设备，其中，

在所述传送控制单元允许所述传送时，所述传送控制单元开始从所述服务器的所述下载。

9.一种用于将用于车载控制装置的控制程序的更新程序传送到所述车载控制装置的传送方法，所述更新程序从服务器下载，所述方法包括：

计算指标值，所述指标值指示所述控制程序的大小和所述更新程序的大小之间的比例；和

基于所述指标值确定是否允许所述传送。

10.一种用于使计算机用作中继设备的计算机程序，所述中继设备被配置为将用于车载控制装置的控制程序的更新程序传送到所述车载控制装置，所述更新程序从服务器下载，

所述计算机程序使所述计算机用作：

计算单元，其被配置为计算指标值，所述指标值指示所述控制程序的大小和所述更新程序的大小之间的比例；和

传送控制单元，其被配置为基于计算出的所述指标值确定是否允许所述传送。