CN110753905B - 控制装置、控制方法和计算机程序 - Google Patents

Abstract

控制装置包括：通信单元，其用于经由车内通信线与车载控制装置通信；以及控制单元，其用于控制通信单元。控制单元执行：获取处理，其获取下面描述的第一时间和第二时间，以及确定处理，其基于已获取的第一时间与第二时间之间的比较结果来确定在正在更新控制程序的车载控制装置中是否有必要回退至更新之前的控制程序。第一时间：从控制程序正被更新的当前时间起至更新完成时为止的时间。第二时间：从当前时间起至回退至更新之前的控制程序完成时为止的时间。

Description

控制装置、控制方法和计算机程序

技术领域

本发明涉及一种控制装置、控制方法和计算机程序。

本申请要求于2017年6月25日提交的日本专利申请No.2017-117833的优先权，该申请的全部内容以引用方式并入本文中。

背景技术

例如，专利文献1公开了一种利用通过网络下载的用于更新的程序来更新程序的技术(在线更新功能)。

引文列表

专利文献

专利文献1：日本特开专利公开No.2015-37938

发明内容

根据一个实施例，根据本公开的控制装置包括：通信单元，其被构造为经车内通信线与车载控制装置通信；以及控制单元，其被构造为控制通信单元。控制单元执行：获取处理，获取下面描述的第一时间和第二时间，以及确定处理，基于已获取的第一时间与第二时间之间的比较结果，确定在更新控制程序的车载控制装置中是否有必要回退至更新之前的控制程序。

第一时间：从其中控制程序正被更新的当前时间起至更新完成时的时间，

第二时间：从当前时间至回退至更新之前的控制程序完成的时间。

根据另一实施例，根据本公开的控制方法是一种通过控制装置经车内通信线与车载控制装置通信来控制车载控制装置中的控制程序的更新的控制方法。该方法包括以下步骤：获取下面描述的第一时间和第二时间；以及基于获取的第一时间与第二时间之间的比较结果来确定正在更新控制程序的车载控制装置中是否有必要回退至更新之前的控制程序。

第一时间：从其中控制程序正被更新的当前时间至当更新完成时的时间，

第二时间：从当前时间至当回退至更新之前的控制程序完成时的时间。

根据又一实施例，根据本公开的计算机程序是一种计算机程序，其被配置为使得计算机用作经车内通信线与车载控制装置通信的控制装置。该计算机程序使得计算机用作：控制单元，其被构造为执行：获取处理，获取下面描述的第一时间和第二时间，以及确定处理，基于获取的第一时间与第二时间之间的比较结果来确定正在更新控制程序的车载控制装置中是否有必要回退至更新之前的控制程序。

第一时间：从其中控制程序正被更新的当前时间至当更新完成时的时间，

第二时间：从当前时间至回退至更新之前的控制程序完成的时间。

附图说明

图1是示出程序更新系统的整体构造的图；

图2是示出网关的内部构造的框图；

图3是示出ECU的内部构造的框图；

图4是示出管理服务器的内部构造的框图；

图5是示出在程序更新系统中执行的控制程序的在线更新的流程的示例的次序图；

图6A至图6C是用于解释更新完成时间和回退时间的图；

图7是示出根据第一实施例的程序更新系统中的更新控制处理的特定内容的流程图；

图8是示出中断指示屏幕的特定示例的示意图；

图9是示出车辆启动暂停屏幕的特定示例的示意图；

图10是示出根据第三实施例的程序更新系统中的更新控制处理的特定内容的流程图。

具体实施方式

[技术问题]

近年来，在汽车领域，车辆的功能越来越先进，车辆上安装了各种各样的装置。因此，车辆配备有大量的控制装置，即所谓的ECU(电子控制单元)，用于控制这些车载装置。

已经采用了各种类型的ECU，例如响应于对加速器、制动器和把手的操作而控制引擎、制动器、EPS(电动助力转向)等的关于行驶的ECU；响应于由乘员执行的开关操作而控制车内灯和大灯的开/关、警报单元的声音等的车身类型ECU；以及控制布置在驾驶员座位附近的仪表的操作的仪表类型ECU。

通常，每个ECU由诸如微型计算机的算术处理单元组成，并且通过读出存储在ROM(只读存储器)中的控制程序并执行所读取的控制程序来实现对车载装置的控制。

根据车辆的目的地、等级等，ECU的控制程序可能不同。因此，响应于控制程序的升级，需要用新版本的控制程序覆写旧版本的控制程序。此外，还需要覆写执行控制程序所必需的数据，例如映射信息和控制参数。

如专利文献1所述，如果要进行在线更新的ECU是关于行驶的ECU或导致用户界面在行驶期间改变的ECU，则当车辆正在行驶时不允许在线更新，并且仅当车辆停止时才允许在线更新。因此，如果在车辆停止时执行在线更新，则用户可能无法在其期望的定时开始行驶。

本发明的一个方面的目的是提供一种控制装置、控制方法和计算机程序，其在不损害用户方便的情况下管理要执行的在线更新。

[本发明的有益效果]

根据本公开，可在不损害用户方便的情况下执行在线更新。

[实施例的描述]

本公开的实施例包括至少以下内容。

(1)一种包括在当前实施例中的控制装置包括：通信单元，其被构造为经由车内通信线与车载控制装置通信；以及控制单元，其被构造为控制通信单元。控制单元执行：获取处理，其获取下面描述的第一时间和第二时间；和确定处理，其基于已经获取的第一时间与第二时间之间的比较结果来确定在正在更新控制程序的车载控制装置中是否有必要回退至更新之前的控制程序。

第一时间：从控制程序正被更新的当前时间起至更新完成时为止的时间

第二时间：从当前时间起至回退至更新之前的控制程序完成时为止的时间

由于基于第一时间和第二时间之间的比较结果来确定是否有必要回退，因此与均匀地继续更新处理的情况相比或者与执行回退的情况相比，车辆可在合适的定时处进入可行驶的状态。

(2)优选地，在第一时间比第二时间更长的情况下，控制单元确定回退是有必要的。

因此，车辆可在更新处理完成之前进入可行驶的状态。因此，当存在想要在更新处理期间启动车辆的用户时，可满足用户的请求。

(3)优选地，通信单元能够接收指示在用户界面上执行的用户操作的信号。在确定处理的结果是回退是有必要的情况下，控制单元还以用户操作的内容为条件、使通信单元发送指令，该指令使车载控制装置执行回退。

因此，可在反映用户意愿的情况下执行回退。

(4)优选地，用户操作包括在更新控制程序期间指示启动车辆的车辆启动操作。当执行车辆启动操作时，控制单元执行确定处理，并且在车辆启动操作已经执行时的时间点处、在第一时间比第二时间更长的情况下，控制单元确定回退是有必要的。

因此，当存在想要在更新处理期间启动车辆的用户时，可满足用户的请求。

(5)优选地，用户操作还包括指示回退的指令操作。在确定处理的结果是回退是有必要的并且指令操作已经执行的情况下，控制单元使通信单元发送指令，该指令使车载控制装置执行回退。

因此，可在反映关于启动车辆和更新控制程序中的哪一个应该被优先执行的用户意愿的同时，执行回退。因此，如果即使延迟启动车辆用户也想要优先执行更新控制程序，可满足用户的该请求。

(6)优选地，通信单元能够将用于显示的信息发送至显示装置。控制单元使通信单元发送指令，该指令使显示装置显示第一时间。

因此，用户可知晓完成更新控制程序所需的时间。因此，当在更新控制程序期间暂停启动车辆时，用户可知晓暂停启动车辆的时间。

(7)优选地，在第一时间比第二时间更长的情况下，控制单元使通信单元发送指令，该指令使显示装置显示第一时间。

因此，当更新控制程序花费比完成回退更长的时间时，用户可知晓完成更新控制程序所需的时间。

(8)优选地，在以下两种情况中的至少一种情况下，控制单元执行确定处理，所述两种情况包括第一时间和第二时间中的每一个等于或长于预定时间的情况、和第一时间与第二时间之间的差等于或长于阈值的情况。

因此，当没有请求时不执行确定处理。因此，用户的方便性和处理效率二者均可提高。

(9)优选地，在车载控制装置是在控制程序正被更新时不允许车辆行驶的车载控制装置的情况下，控制单元执行确定处理。

因此，在即使在更新控制程序期间也允许车辆行驶的车载控制装置中，在更新控制程序期间不执行确定处理。因此，用户的方便性和处理效率二者均可提高。

(10)一种包括在当前实施例中的控制方法是一种用于控制根据以上(1)至(9)中的任一项的控制装置中的控制车载控制装置中的控制程序的更新的方法。

该控制方法提供了与根据以上(1)至(9)的控制装置的那些相同的效果。

(11)一种包括在当前实施例中的计算机程序使计算机用作根据以上(1)至(9)中的任一项的控制装置。

该计算机程序提供了与根据以上(1)至(9)的控制装置的那些相同的效果。

[实施例的详细描述]

以下，将参照附图描述优选实施例。在下面的描述中，相同的附图标记表示相同的组件和组成元素。其名称和功能也相同。因此，无需重复其描述。

<第一实施例＞

[系统的整体构造]

图1是示出根据本公开的实施例的程序更新系统的整体构造的图。

如图1所示，该实施例的程序更新系统包括可经由广域通信网络2彼此通信的车辆1、管理服务器5和DL(下载)服务器6。

管理服务器5管理每个车辆1的更新信息。DL服务器6在其中存储更新程序。管理服务器5和DL服务器6例如由车辆1的汽车制造商操作，并且可与预先注册为会员的用户所拥有的大量车辆1通信。

每个车辆1设有：车内网络(通信网络)4，其包括经由车内通信线连接的多个ECU30和网关10；无线通信单元15；和由对应的ECU 30控制的各种车载装置(未示出)。

触摸面板40是车载装置之一。触摸面板40是显示装置和输入装置的示例。作为触摸面板40的替代，可使用显示器和按钮。所述多个ECU 30之一连接至触摸面板40，并且控制触摸面板40。

车内网络4具有多个车内通信线，并且包括多个通信组，每个通信组包括通过总线连接至对应的车内通信线的多个ECU 30。网关10中继通信组之间的通信。因此，所述多个车内通信线连接至网关10。

无线通信单元15可通信地连接至诸如移动电话网络的广域通信网络2，并且经由车内通信线连接至网关10。无线通信单元15经由广域通信网络2从诸如管理服务器5和DL服务器6的外部装置接收信息，并且网关10经由车内通信线将信息发送至ECU 30。

网关10将从ECU 30获得的信息发送至无线通信单元15，并且无线通信单元15将信息发送至诸如管理服务器5的外部装置。

ECU 30经由车内通信线交换信息。

对于安装在车辆1中的无线通信单元15，除车载专用通信终端之外，还可以想到用户所拥有的诸如移动电话、智能电话、平板式终端和笔记本PC(个人计算机)的装置。

图1示出了网关10经由无线通信单元15与外部装置通信的示例性示例。然而，如果网关10具有无线通信功能，则网关10本身可无线地与诸如管理服务器5的外部装置通信。

在图1所示的程序更新系统中，管理服务器5和DL服务器6被构造为分离的服务器。然而，这些服务器5和6可被构造为单个服务器单元。管理服务器5和DL服务器6中的每一个可包括多个装置。

[网关的内部构造]

图2是示出网关10的内部构造的框图。

如图2所示，网关10包括CPU 11、RAM(随机存取存储器)12、存储单元13、车内通信单元14等。网关10经由车内通信线连接至无线通信单元15。然而，网关10和无线通信单元15可被构造为单个装置。

CPU 11通过将存储在存储单元13中的一个或多个程序读出至RAM 12并且执行所读取的程序，使得网关10用作用于中继各种信息的中继装置。

例如，CPU 11可通过按照时间共享方式在程序之间切换来并行执行多个程序。CPU11可为表示多个CPU组的CPU。在这种情况下，将由CPU 11实施的功能是将由彼此合作的所述多个CPU组实施的功能。RAM 12包括诸如SRAM(静态RAM)或DRAM(动态RAM)的存储器元件，并且在其中暂时存储将由CPU 11执行的程序、在执行程序的过程中所需的数据等。

通过CPU 11实施的计算机程序可在被记录在诸如CD-ROM或DVD-ROM的公知记录介质的状态下被传递，或者可通过来自于诸如服务器计算机的计算机装置的数据传输来传递通过CPU 11实施的计算机程序。

在这个方面，同样也适用于通过稍后描述的ECU 30的CPU 31(参照图3)执行的计算机程序和通过稍后描述的管理服务器5的CPU51(参照图4)执行的计算机程序。

在以下描述中，从主机装置至客户机装置的数据传递(传输)也被称作“下载”。

存储单元13包括非易失性存储器元件，诸如闪速存储器或EEPROM等。存储单元13在其中存储将由CPU 11执行的程序、执行程序所需的数据等。例如，存储单元13还在其中存储从DL服务器6接收并且待下载的用于对应的ECU 30的更新程序。

所述多个ECU 30经由布置在车辆1中的车内通信线连接至车内通信单元14。车内通信单元14例如根据CAN(控制器区域网络)的标准与ECU 30执行通信(还称作CAN通信)。车内通信单元14采用的通信标准不限于CAN。可采用诸如CANFD(具有灵活数据速率的CAN)、LIN(局部互连网络)、Ethernet(注册商标)或MOST(面向媒体的系统传输：MOST是注册商标)的其它标准。所述多个车内通信线可包括基于不同通信标准的通信线。

车内通信单元14将从CPU 11提供的信息发送至目标ECU 30，并且将从ECU 30接收的信息提供至CPU 11。除以上通信标准之外，车内通信单元14还可根据用于车内网络4的其它通信标准与ECU 30通信。

无线通信单元15包括无线通信设备，该无线通信设备包括天线和相对于天线执行发送/接收无线电信号的通信电路。无线通信单元15当连接至诸如移动电话网络的广域通信网络2时能够与外部装置通信。

无线通信单元15将从CPU 11提供的信息经由通过基站(未示出)形成的广域通信网络2发送至诸如管理服务器5的外部装置，并且将从外部装置接收到的信息提供至CPU11。

作为图2所示的无线通信单元15的替代，可采用用作车辆1内的中继装置的有线通信单元。该有线通信单元具有连接器，符合诸如USB(通用串行总线)或RS232C的标准的通信线缆连接到该连接器，并且该有线通信单元经由通信线缆与同其连接的另一通信装置执行有线通信。

如果所述另一通信装置和诸如管理服务器5的外部装置可经由广域通信网络2彼此无线地通信，则外部装置和网关10变得可通过包括外部装置、所述另一通信装置、有线通信单元和网关10(按此顺序)的通信路径彼此通信。

[ECU的内部构造]

图3是示出ECU 30的内部构造的框图。

如图3所示，ECU 30包括CPU 31、RAM 32、存储单元33、通信单元34等。ECU 30是独立地控制安装在车辆1中的目标装置的车载控制装置。ECU 30的类型的示例包括电源控制ECU、引擎控制ECU、转向控制ECU和门锁控制ECU。

CPU 31通过将预先存储在存储单元33中的一个或多个程序读出至RAM 32并且执行所读取的程序，来控制受CPU 31掌控的目标装置的操作。CPU 31也可为表示多个CPU组的CPU，并且将由CPU 31执行的控制可由彼此合作的所述多个CPU组来执行。

RAM 32包括诸如SRAM或DRAM的存储器元件，并且在其中临时存储将由CPU 31执行的程序、执行程序所需的数据等。

例如，存储单元33包括诸如闪速存储器或EEPROM的非易失性存储器元件或者诸如硬盘的磁存储装置。

存储单元33在其中存储待由CPU 31读取并执行的程序。存储在存储单元33中的信息的示例包括：计算机程序，其使得CPU 31执行用于控制作为车内控制目标的目标装备的信息处理；以及控制程序，其是将在执行程序的过程中使用的数据，诸如参数和映射信息。

网关10经由布置在车辆1中的车内通信线连接至通信单元34。例如，通信单元34根据诸如CAN、Ethernet或MOST的标准与网关10通信。

通信单元34将从CPU 31提供的信息发送至网关10，并且将从网关10接收的信息提供至CPU 31。除以上通信标准之外，通信单元34可根据用于车载网络的其它通信标准与网关10通信。

ECU 30的CPU 31包括启动单元35，启动单元35将通过CPU 31执行的控制模式在“正常模式”与“再编程模式”(下文中还称作“重现模式(repro mode)”)之间切换。

正常模式是ECU 30的CPU 31执行针对目标装置的原始控制(例如，针对燃料引擎的引擎控制或针对门锁电机的门锁控制)的控制模式。

再编程模式是CPU 31更新用于控制目标装置的控制程序的控制模式。

也就是说，再编程模式是CPU 31执行从存储单元33中的ROM区擦除控制程序的数据/将控制程序的数据覆写至存储单元33中的ROM区的控制模式。仅当CPU 31处于该控制模式下时，CPU 31可将存储在存储单元33中的ROM区中的控制程序更新至新版本。

在再编程模式下，当CPU 31将新版本的控制程序写至存储单元33中时，启动单元35临时重启(复位)ECU 30，并且在已经写了新版本的控制程序的存储区上执行验证处理。

在完成验证处理之后，启动单元35用更新后的控制程序来操作CPU 31。

通过利用已经从DL服务器6经由网关10下载至ECU 30的更新程序来更新控制程序也被称作“在线更新”。

[管理服务器的内部结构]

图4是示出管理服务器5的内部结构的框图。

如图4所示，管理服务器5包括CPU 51、ROM 52、RAM 53、存储单元54、通信单元55等。

通过将预先存储在ROM 52中的一个或多个程序读出至RAM 53并且执行所读取的程序，CPU 51控制每个硬件组件的操作，并且使得管理服务器5用作可与网关10通信的外部装置。CPU 51也可为表示多个CPU组的CPU，并且将由CPU 51实现的功能可为将由彼此合作的所述多个CPU组实现的功能。

RAM 53包括诸如SRAM或DRAM的存储器元件，并且在其中临时存储将由CPU 51执行的程序、执行程序所需的数据等。

例如，存储单元54包括诸如闪速存储器或EEPROM的非易失性存储器元件，或者诸如硬盘的磁存储装置。

通信单元55包括根据预定通信标准执行通信处理的通信装置。通信单元55在连接至诸如移动电话网络的广域通信网络2的同时执行通信处理。通信单元55将从CPU 51提供的信息经由广域通信网络2发送至外部装置，并且将经由广域通信网络2接收到的信息提供至CPU 51。

[控制程序更新次序]

图5是示出在当前实施例的程序更新系统中执行的控制程序的在线更新的流程的示例的次序图。在DL服务器6中存储一个或多个更新程序，并且例如，管理服务器5确定更新车辆1的ECU的控制程序的定时。例如，可通过车辆1的汽车制造商来设置更新的定时。

控制程序不仅包括程序本身，还包括将在执行程序的过程中使用的诸如参数和映射信息的数据。术语“控制程序”表示程序和数据。因此，更新程序不仅包括用于更新程序的程序，还包括用于更新将在执行程序的过程中使用的数据的数据。

当已经到达更新控制程序的定时时，管理服务器5向对应车辆1的网关10通知更新(步骤S1)。在步骤1中，用于更新的信息(诸如，更新程序的目的地URL和更新程序的大小)与下载请求一起被从管理服务器5发送至网关10。

在从管理服务器5接收到更新的通知时，网关10将待从DL服务器6下载的更新程序中继至其控制程序待更新的ECU(下文中称作“目标ECU”)。也就是说，基于用于更新的信息，网关10将请求发送至DL服务器6以下载更新程序(步骤S2)。

在从网关10接收到下载请求时，DL服务器6将待下载的更新程序传送(中继)至网关10，并且请求更新控制程序(步骤S3)。

网关10下载更新程序，将更新程序传送至目标ECU 30，并且请求更新控制程序(步骤S4)。网关10可在从用户接收到更新的许可时传送更新程序。

已经接收到更新程序的目标ECU 30响应于来自于网关10的请求而提取更新程序，并且更新控制程序(步骤S5)。网关10是控制目标ECU 30中的更新处理的控制装置的示例。网关10指示目标ECU30更新控制程序，并且执行更新控制处理(步骤S6)。稍后将描述更新控制处理。

当更新控制程序完成时，目标ECU 30向网关10通知更新完成(步骤S7)。在接收到该通知时，网关10向DL服务器6通知更新完成(步骤S8)。

[网关的功能构造]

参照图2，网关10的CPU 11包括更新控制单元111，更新控制单元111是用于执行更新控制处理的功能。当CPU 11读出存储在存储单元13中的一个或多个程序并且执行所读取的程序时，该功能通过CPU 11来实现。然而，该功能的至少一部分可通过诸如电子电路的硬件来实现。

更新控制处理包括获取处理、确定处理和控制处理。通过更新控制单元111表示的CPU 11的功能(下文中，该功能称作“更新控制单元111”)执行获取处理、确定处理和控制处理。

(获取处理)

获取处理是获取以下内容的处理：更新完成时间(第一时间)X，其是从当前时间起至用于目标ECU 30的更新处理完成时为止的时间段；以及回退时间(第二时间)Y，其是从当前时间起至回退至更新之前的控制程序(即，原始控制程序)完成时为止的时间段。

图6A至图6C是用于解释更新完成时间X和回退时间Y的图，并且每个图示例性地示出了区331的状态，区331设置在ECU 30的存储单元33中，并且将由CPU 31执行的控制程序存储在区331中。图6A是示出当前时间处的区331的状态的示意图，并且示出了新版本(更新后的)控制程序已被写入其中的已写区331a具有数据大小H1的状态。

图6B示出了新版本控制程序的写入已完成的状态，并且示出了已写区331a已达到新版本控制程序的数据大小H2的状态。更新完成时间(第一时间)X对应于已写区331a从数据大小H1达到数据大小H2的时间T1。

图6C示出了这样的状态：新版本控制程序的写入在新版本控制程序被写入至如图6A所示的数据大小H1的时间处被中断，并且然后执行回退至旧版本(更新之前)控制程序。旧版本控制程序被覆写在图6A所示的状态下的区331上，并且当回退完成时，已写区331a达到旧版本控制程序的数据大小H3。回退时间(第二时间)Y对应于已写区331a从数据大小0达到旧版本控制程序的数据大小H3的时间T2。

在在回退之前将旧版本控制程序从网关10传送至目标ECU 30的情况下，回退时间(第二时间)Y等于通过将旧版本控制程序从网关10传送至目标ECU 30所需的时间t与图6C所示的时间T2相加而获得的时间(即，Y＝T2+t)。

例如，获取处理是计算更新完成时间X和回退时间Y的处理。更新控制单元111基于新版本控制程序的未写入区331中的部分(未写的区)的数据大小以及目标ECU 30的写入能力来计算更新完成时间X。另外，更新控制单元111基于旧版本控制程序的大小和目标ECU30的写入能力来计算回退时间Y。

在另一示例中，获取处理可为从管理服务器5获取更新完成时间X和回退时间Y的处理。

(确定处理)

确定处理是将更新完成时间X与回退时间Y进行比较，并且基于比较结果来确定回退是否是有必要的处理。

根据比较结果，当更新完成时间X比回退时间更长Y时(X＞Y)，更新控制单元111确定回退是有必要的。当回退时间Y等于或长于更新完成时间X时(X≤Y)，更新控制单元111确定回退是不必要的。

(控制处理)

控制处理是根据确定结果控制目标ECU 30中的控制程序的更新的处理。当确定结果为回退是有必要的时，更新控制单元111使得触摸面板40用作用户界面以显示更新完成时间X和回退时间Y。为此，更新控制单元111产生帧，该帧是将通过CAN通信发送的信息。该帧包括指示更新完成时间X和回退时间Y的数据。CPU 11使得车内通信单元14将该帧发送至控制触摸面板40的ECU 30。

当在触摸面板40上执行指示回退处理的指令操作时，车内通信单元14从控制触摸面板40的ECU 30接收指示指令操作的帧。当车内通信单元14已经接收到该帧时，更新控制单元111产生指示对目标ECU 30执行回退的指令的帧。CPU 11使得车内通信单元14将该帧发送至控制触摸面板40的ECU 30。该帧可包括旧版本更新程序。因此，在目标ECU 30中执行回退至旧版本更新程序。

[更新控制处理]

图7是示出根据第一实施例的程序更新系统中的更新控制处理的特定示例的流程图。当网关10的CPU 11通过将存储单元13中的一个或多个程序读出至RAM 12上并且执行所读取的程序来实施更新控制单元111的功能时，执行图7的流程图所示的处理。在网关10已经将更新程序发送至目标ECU 30并且请求更新控制程序之后(图5中的步骤S4之后)，开始图7所示的处理。当在目标ECU 30中已完成更新处理时或当已执行回退至更新之前控制程序时，图7所示的处理结束。

参照图7，CPU 11监视从控制引擎启动的ECU接收的帧，从而检测已执行车辆启动操作。车辆启动操作是使车辆1启动的用户操作。例如，用户操作是按下用于指示引擎启动的按钮的操作。当目标ECU30处于重现模式时，网关10不允许启动车辆1。因此，即使检测到车辆启动操作，如果目标ECU 30正在更新控制程序，则用户可能尽管想要启动车辆1也不能迅速启动车辆1。

在检测到车辆启动操作时(步骤S101中的是)，CPU 11例如通过计算获取更新完成时间X和回退时间Y(步骤S103)。

当更新完成时间X比回退时间Y更长时(步骤S105中的是)，CPU 11确定回退是有必要的。因此，CPU 11使得车内通信单元14向控制触摸面板40的ECU 30输出指令，该指令使得触摸面板40在呈现更新完成时间X和回退时间Y的同时显示用于指示目标ECU 30中的回退的屏幕(中断指示屏幕)。此时，CPU 11使得在步骤S103中计算出的更新完成时间X和回退时间Y被发送至控制触摸面板40的ECU 30。因此，中断指示屏幕显示在触摸面板40上(步骤S107)。

图8是示出中断指示屏幕的特定示例的示意图。参照图8，除了显示更新完成时间X和回退时间Y之外，中断指示屏幕还包括用于指示中断更新处理的按钮40a。因此，用户可参照更新完成时间X和回退时间Y确定回退是否是有必要的。

当在图8所示的中断指示屏幕上选择按钮40a时，车内通信单元14从控制触摸面板40的ECU 30接收指示指令操作的信号。在这种情况下(步骤S111中的是)，CPU 11使得车内通信单元14将执行回退的指令发送至目标ECU 30(步骤S113)。因此，在目标ECU 30中执行回退。

当回退时间Y等于或长于更新完成时间X时(步骤S105中的否)，CPU 11确定回退是不必要的。因此，CPU 11不执行步骤S113中的控制。也就是说，不向目标ECU 30指示回退。即使在更新完成时间X比回退时间Y更长(步骤S105中的是)并且CPU 11确定回退是有必要的情况下，如果不做出上述指令操作(步骤S111中的否)，则CPU11不使车内通信单元14将回退的指令发送至目标ECU 30。因此，在目标ECU 30中继续更新处理。

优选地，当未执行步骤S113中的控制时，也就是说，当在目标ECU 30中继续更新处理时，CPU 11使车内通信单元14向控制触摸面板40的ECU 30发送指令，该指令使触摸面板40显示用于通知用户目标ECU 30中正在更新控制程序的屏幕(车辆启动暂停屏幕)，因此应暂停车辆启动。

图9是示出车辆启动暂停屏幕的特定示例的示意图。参照图9，车辆启动暂停屏幕包括例如显示诸如“因为车辆正在更新中所以请不要启动车辆”的消息。优选地，如图9所示，车辆启动暂停屏幕包括显示更新完成时间X。因此，用户可知道车辆启动将暂停多久。

[第一实施例的效果]

在根据第一实施例的程序更新系统中，基于在已经执行车辆启动操作的时间处更新完成时间X与回退时间Y之间的比较结果，用作控制装置的网关10确定是否有必要回退至目标ECU 30中的旧版本控制程序。然后，网关10基于确定结果或基于确定结果和指令操作来控制目标ECU 30中的更新处理。因此，在已经执行车辆启动操作之后，执行更新控制程序和回退至旧版本中的将于较早完成的一个。因此，在已经执行车辆启动操作之后，车辆1可迅速进入可行驶的状态。结果，可满足想要启动车辆1的用户的请求。

<修改1>

注意，更新完成时间X根据控制程序的大小、更新的规模以及目标ECU 30的更新能力(写入能力)而变化。当更新完成时间X极短(例如，约几秒)时，不需要确定回退是否是有必要的。另外，当更新完成时间X与回退时间Y之间的差异极小时，不需要确定回退是否是有必要的。

因此，当网关10的CPU 11已经执行更新控制处理并且计算更新完成时间X和回退时间Y(获取处理)时，CPU 11优选地将时间X与时间Y的幅值进行比较和/或将它们之间的差与预先存储的阈值进行比较，并且当所述值等于或大于阈值时执行确定处理。当所述值小于阈值时，CPU 11不执行确定处理。这也可适用于后面描述的第二实施例和后续实施例。

因此，仅当车辆启动暂停的时间等于或长于阈值(从执行车辆启动操作时起至车辆1进入可行驶状态时为止)时，或者当更新完成与回退之间的时间差等于或大于阈值时，执行确定回退是否是有必要的。否则，不执行确定，也就是说，继续更新处理直至完成为止。因此，用户的方便性和处理效率二者均可提高。

<修改2>

在第一实施例中，在执行目标ECU 30中的更新处理期间执行更新控制处理以抑制车辆1的行驶。安装在车辆1中的所述多个ECU 30可包括即使正在更新其控制程序也允许驾驶车辆1的ECU。该ECU的示例包括用于控制音频的ECU和用于控制空调的ECU。在这种情况下，更新控制处理是不必要的。

因此，优选地，网关10的CPU 11预先记忆需要(或不需要)更新控制处理的ECU，并且当目标ECU 30是需要更新控制处理的ECU时执行更新控制处理。否则，CPU 11不执行更新控制处理。这也适用于稍后描述的第二实施例和后续实施例。因此，用户的方便性和处理效率二者均可提高。

<第二实施例>

随着在目标ECU 30中更新处理的进行，更新完成时间X改变(减少)。因此，在根据第二实施例的更新系统中，用作控制装置的网关10的CPU 11执行图7中的虚线指示的步骤115的处理。

参照图7，在第二实施例中，在网关10的CPU 11不执行步骤S113中的控制的情况下，CPU 11在预定定时处重复从步骤S103开始的操作直到目标ECU 30中的更新处理完成为止(步骤S115中的否)。因此，当更新完成时间X比回退时间Y更长时，每当重复从步骤S103开始的操作时更新图8所示的中断指示屏幕。

此外，在回退时间Y等于或长于更新完成时间X并且目标ECU 30中的更新处理继续的情况下，每当重复从步骤S103开始的操作时更新图9所示的车辆启动暂停屏幕。每当更新车辆启动暂停屏幕的显示时或每当更新中断指示屏幕的显示时，缩短屏幕中的更新完成时间X。

在获得指示更新完成时间X比回退时间Y更长的比较结果并且没接收到指令操作的情况下，随着目标ECU 30中更新处理的进行，更新完成时间X逐渐缩短，并且可变得比回退时间Y更短。如果在该状态下重复从步骤S103开始的操作，则将获得指示回退时间Y等于或长于更新完成时间X的比较结果。在该情况下(步骤S105中的否)，显示在触摸面板40上的图8的中断指示屏幕切换为图9的车辆启动暂停屏幕(步骤S109)。也就是说，即使CPU 11在某个时间点处因为更新完成时间X比回退时间Y更长而确定有必要回退，但是当随着目标ECU 30中的更新处理的进行更新完成时间X变得等于或短于回退时间Y时，CPU 11也可确定回退是不必要的。

[第二实施例的效果]

在根据第二实施例的程序更新系统中，当在目标ECU 30中继续更新处理时，随着目标ECU 30中的更新处理进行，显示在触摸面板40上的更新完成时间X改变(减少)。因此，正在等待车辆1能够启动而不中断更新处理的用户可知晓车辆启动将暂停多久。

即使在已经检测到车辆启动操作的时间处更新完成时间X比回退时间Y更长的情况下，在随着目标ECU 30中的更新处理的进行更新完成时间X已经变得等于或短于回退时间Y的时间处，不接受回退的指令。因此，车辆1可从已检测到车辆启动操作开始，尽快进入可行驶状态。

<第三实施例>

在第一实施例和第二实施例中，在用作控制装置的网关10因为在已经检测到车辆启动操作时的时间处更新完成时间X比回退时间Y更长而确定回退是有必要的、并且已经检测到指令操作的情况下，网关10执行使得目标ECU 30执行回退的控制。在另一示例中，即使没有指令操作，网关10也可以仅基于确定处理的结果而执行使得目标ECU 30执行回退的控制。

图10是示出根据第三实施例的程序更新系统的更新控制处理的特定内容的流程图。被给予与图7的流程图相同的步骤编号的操作与根据第一实施例的程序更新系统中的更新控制处理中的那些操作相同。

参照图10，当更新完成时间X比回退时间Y更长时(步骤S105中的是)，CPU 11确定回退是有必要的(步骤S113)。然后，CPU 11使得车内通信单元14将回退指令发送至目标ECU30。因此，目标ECU30执行回退至旧版本控制程序。在这种情况下，优选地，CPU 11指示触摸面板40显示如图9所示的车辆启动暂停屏幕，从而显示回退时间Y。因此，用户可知晓车辆启动将暂停多久。

当回退时间Y等于或长于更新完成时间X时(步骤S105中的否)，CPU 11确定回退是不必要的，并且不执行步骤S113中的控制。因此，目标ECU 30中的更新处理继续。在这种情况下，优选地，CPU 11使得触摸面板40显示图9所示的车辆启动暂停屏幕。更优选地，在目标ECU 30中的更新处理继续的同时CPU 11以预定时间间隔重新计算更新完成时间X，并且指示更新图9所示的车辆启动暂停屏幕。因此，用户可实时地或几乎实时地知道车辆启动将暂停多久。

[第三实施例的效果]

在根据第三实施例的程序更新系统中，根据基于车辆启动操作的时间处的更新完成时间X与回退时间Y之间的比较的确定结果，用作控制装置的网关10控制目标ECU 30中的更新处理。也就是说，在根据第三实施例的程序更新系统中，当在目标ECU 30中已经开始控制程序更新处理之后执行诸如引擎启动的指令的车辆启动操作(用户操作)时，自动控制目标ECU 30中的更新处理。因此，满足了想要启动车辆1的用户的请求，并且免去了复杂的用户操作，以改进可操作性。

<第四实施例>

在根据第一实施例至第三实施例的程序更新系统中，网关10用作控制装置，并且执行前述更新控制处理。然而，控制装置不限于网关10。在另一示例中，ECU 30中的任一个可用作控制装置。在根据第四实施例的程序更新系统中，用作控制装置的ECU 30执行更新控制处理。

在这种情况下，如图3所示，用作控制装置的ECU 30的CPU 31包括对应于前述更新控制单元111的更新控制单元311，作为执行更新控制处理的功能。当CPU 31读出存储在存储单元33中的一个或多个程序并且执行所读取的程序时，该功能主要通过CPU 31来实施。然而，该功能的至少一部分可通过诸如电路的硬件来实施。

公开的特征通过一个或多个模块来实施。例如，特征可通过以下模块来实施：诸如电路元件等的硬件模块；限定实现该特征的处理的软件模块；或者硬件模块和软件模块的组合。

公开的特征可提供为程序，所述程序是用于使得计算机执行前述操作的一个或多个软件模块的组合。这样的程序可记录在计算机可读记录介质中，诸如软盘、CD-ROM(光盘只读存储器)、ROM、RAM、记忆卡、或依附于计算机的其他类似物，并且提供为程序产品。可替换地，程序可通过被记录在计算机中包含的诸如硬盘的记录介质中来提供。也可通过经由网络下载来提供程序。

根据本公开的程序可在预定定时处从提供为计算机的操作系统(OS)的一部分的程序模块中以预定的阵列调用必要的模块，并且可导致执行处理。在这种情况下，模块不被包括在程序本身中，并且与OS合作执行处理。根据本公开的程序还包括这种不包括模块的程序。

根据本公开的程序可通过被并入另一程序的一部分中来提供。同样在这种情况下，被包括在所述另一程序中的模块不被包括在所述程序本身中，并且与所述另一程序合作执行处理。根据本公开的程序还包括这种被并入另一程序中的程序。待提供的程序产品被安装在诸如硬盘的程序存储单元中，并且然后被执行。程序产品包括程序本身和其中记录程序的记录介质。

注意，本文公开的实施例在所有方面仅为说明性的，并且不应理解为限制性的。本发明的范围不由上面的描述限定而是由权利要求的范围限定，并且旨在包括与权利要求的范围和该范围内的所有修改形式等同的含义。

标号列表

1：车辆

2：广域通信网络

4：车内网络

5：管理服务器

6：服务器

10：网关(控制装置)

11：CPU

12：RAM

13：存储单元

14：车内通信单元(通信单元)

15：无线通信单元

30：ECU(车载控制装置)

31：CPU

32：RAM

33：存储单元

34：通信单元

35：启动单元

40：触摸面板

40a：按钮

51：CPU

52：ROM

53：RAM

54：存储单元

55：通信单元

111：更新控制单元(控制单元)

331：区

331a：已写区

311：更新控制单元(控制单元)

Claims (11)

1.一种控制装置，包括：

通信单元，其被构造为经由车内通信线与车载控制装置通信；以及

控制单元，其被构造为控制所述通信单元，其中，

所述控制单元执行：

获取处理，其获取下面描述的第一时间和第二时间，以及

确定处理，其基于已经获取的所述第一时间与所述第二时间之间的比较结果来确定在正在更新控制程序的所述车载控制装置中是否有必要回退至更新之前的控制程序，

第一时间：从所述控制程序正被更新的当前时间起至更新完成时为止的时间，

第二时间：从所述当前时间起至回退至所述更新之前的控制程序完成时为止的时间。

2.根据权利要求1所述的控制装置，其中，

在所述第一时间比所述第二时间更长的情况下，所述控制单元确定所述回退是有必要的。

3.根据权利要求2所述的控制装置，其中，

所述通信单元能够接收指示在用户界面上执行的用户操作的信号，并且

在所述确定处理的结果是所述回退是有必要的情况下，所述控制单元还以所述用户操作的内容为条件、使所述通信单元发送指令，所述指令使所述车载控制装置执行所述回退。

4.根据权利要求3所述的控制装置，其中，

所述用户操作包括在更新所述控制程序期间指示启动车辆的车辆启动操作，并且

当所述车辆启动操作已经执行时，所述控制单元执行所述确定处理，并且在所述车辆启动操作已经执行时的时间点处、在所述第一时间比所述第二时间更长的情况下，所述控制单元确定所述回退是有必要的。

5.根据权利要求4所述的控制装置，其中，

所述用户操作还包括指示所述回退的指令操作，并且

在所述确定处理的结果是所述回退是有必要的并且所述指令操作已经执行的情况下，所述控制单元使所述通信单元发送指令，所述指令使所述车载控制装置执行所述回退。

6.根据权利要求2至5中的任一项所述的控制装置，其中，

所述通信单元能够将用于显示的信息发送至显示装置，并且

所述控制单元使所述通信单元发送指令，所述指令使所述显示装置显示所述第一时间。

7.根据权利要求6所述的控制装置，其中，

在所述第一时间比所述第二时间更长的情况下，所述控制单元使所述通信单元发送指令，所述指令使所述显示装置显示所述第一时间。

8.根据权利要求1至5中的任一项所述的控制装置，其中，

在以下两种情况中的至少一种情况下，所述控制单元执行所述确定处理，所述两种情况包括所述第一时间和所述第二时间中的每一个等于或长于预定时间的情况、以及所述第一时间与所述第二时间之间的差等于或长于阈值的情况。

9.根据权利要求1至5中的任一项所述的控制装置，其中，

在所述车载控制装置是在控制程序正被更新时不允许车辆行驶的车载控制装置的情况下，所述控制单元执行所述确定处理。

10.一种用于通过控制装置控制车载控制装置中的控制程序的更新的控制方法，所述控制装置经由车内通信线与所述车载控制装置通信，所述方法包括：

获取下面描述的第一时间和第二时间；以及

基于已经获取的所述第一时间与所述第二时间之间的比较结果来确定在正在更新控制程序的所述车载控制装置中是否有必要回退至更新之前的控制程序，

第一时间：从所述控制程序正被更新的当前时间起至更新完成时为止的时间，

第二时间：从所述当前时间起至回退至所述更新之前的控制程序完成时为止的时间。

11.一种非暂时性计算机可读存储介质，其存储计算机程序，所述计算机程序被配置为使计算机用作经由车内通信线与车载控制装置通信的控制装置，所述计算机程序使所述计算机用作：

控制单元，其被构造为执行：

获取处理，其获取下面描述的第一时间和第二时间，以及

确定处理，其基于已经获取的所述第一时间与所述第二时间之间的比较结果来确定在正在更新控制程序的所述车载控制装置中是否有必要回退至更新之前的控制程序，

第一时间：从所述控制程序正被更新的当前时间起至更新完成时为止的时间，

第二时间：从所述当前时间起至回退至所述更新之前的控制程序完成时为止的时间。

Images