CN110753906A - 更新控制装置、控制方法以及计算机程序 - Google Patents

Abstract

提供了一种更新控制装置，其设置有：通信单元，其用于经由包括车内通信线路的传输路径与车载控制装置通信；以及控制单元，当下面定义的目标装置不能执行针对控制程序的更新处理时，该控制单元使所述通信单元发送请求消息，所述请求消息请求替代装置来替代地执行更新处理的一部分，所述替代装置为下面定义的非预期装置。目标装置：其控制程序将被更新的车载控制装置。非预期装置：其控制程序将不被更新的车载控制装置。

Description

更新控制装置、控制方法以及计算机程序

技术领域

本发明涉及更新控制装置、控制方法和计算机程序。

本申请要求在2017年6月13日提交的日本专利申请号2017-116109的优先权，其全部内容通过引用合并于此。

背景技术

近年来，在汽车领域，车辆的功能性不断提高，且车辆中安装有各种各样的装置。因此，车辆配备有用于控制这些车载装置的大量控制装置，即所谓的电子控制单元(ECU)。

已经采用了各种类型的ECU，例如响应于对加速器、制动器和手柄(handle)的操作来控制发动机、制动器、电动助力转向(EPS)等的与行驶有关的ECU，响应于由乘客执行的开关操作来控制内部灯和前灯的开/关、警报单元的声音等的车身型ECU，以及控制布置在驾驶员座椅附近的仪表的操作的仪表型ECU。

通常，ECU由如微型计算机等运算处理单元构成，且通过读出存储在只读存储器(ROM)中的控制程序并执行读出的控制程序，来实现车载装置的控制。

关于ECU的控制程序，为了提高功能、防止犯罪等，响应于控制程序的升级，需要用新版本的控制程序重写旧版本的控制程序。另外，还需要重写执行控制程序所需的如地图信息和控制参数的数据。

例如，专利文献1公开了一种通过使用经由网络下载的用于更新的程序来更新程序的技术(在线更新功能)。

引证列表

[专利文献]

专利文献1：日本特开专利公开号2015-37938

发明内容

根据一个实施例的更新控制装置是这样的更新控制装置，其包括：通信单元，其被配置为经由包括车内通信线路的传输路径与车载控制装置通信；以及控制单元，其被配置为当下面定义的目标装置不能执行针对控制程序的更新处理时，使所述通信单元发送请求消息。请求消息请求替代装置来替代地执行所述更新处理的一部分，所述替代装置为下面定义的非目标装置。

目标装置：其控制程序将被更新的车载控制装置。

非目标装置：其控制程序将不被更新的车载控制装置。

根据另一实施例的控制方法是一种在更新控制装置中使用的控制方法，所述更新控制装置被配置为经由包括车内通信线路的传输路径与车载控制装置通信。该方法包括：当下面定义的目标装置不能执行针对控制程序的更新处理时，发送请求消息。请求消息请求替代装置来替代地执行所述更新处理的一部分，所述替代装置为下面定义的非目标装置。

目标装置：其控制程序将被更新的车载控制装置。

非目标装置：其控制程序将不被更新的车载控制装置。

根据又一实施例的计算机程序是一种用于使计算机用作更新控制装置的计算机程序，所述更新控制装置被配置为经由包括车内通信线路的传输路径与车载控制装置通信。所述计算机程序使所述计算机用作：通信单元，其被配置为经由包括车内通信线路的传输路径与车载控制装置通信；以及控制单元，其被配置为当下面定义的目标装置不能执行针对控制程序的更新处理时，使所述通信单元发送请求消息。请求消息请求替代装置来替代地执行所述更新处理的一部分，所述替代装置为下面定义的非目标装置。

目标装置：其控制程序将被更新的车载控制装置。

非目标装置：其控制程序将不被更新的车载控制装置。

附图说明

图1是示出程序更新系统的整体配置的图。

图2是示出网关的内部配置的框图。

图3是示出ECU的内部配置的框图。

图4是示出管理服务器的内部配置的框图。

图5是示出在根据比较示例的程序更新系统中执行的控制程序的在线更新的流程的示例的时序图。

图6是示出在根据第一实施例的程序更新系统中执行的控制程序的在线更新的流程的示例的时序图。

图7是示出更新控制处理的具体内容的流程图。

图8是示出图7中的步骤S103的确定处理的流程的流程图。

图9是示出在根据第二实施例的程序更新系统中执行的控制程序的在线更新的流程的示例的时序图。

图10是示出在根据第三实施例的程序更新系统中执行的控制程序的在线更新的流程的示例的时序图。

具体实施方式

<本公开所要解决的问题>

在专利文献1所公开的在线更新中，如果被指示更新其控制程序的ECU处于ECU不能执行更新的状态，则假定通过网络下载的更新程序被临时存储在如网关的控制装置中，且当ECU能够执行更新时，从所述控制装置传送更新程序，然后开始更新。例如，不能执行控制程序的更新的状态是目标ECU是用于控制与行驶相关的功能的ECU并且车辆正在行驶的状态，或者目标ECU未被激活的状态。

在这种情况下，由于控制装置将更新程序存储在存储器中，所以存储器负担过重。特别是，考虑到近年来ECU的高度功能化，由于需要同时更新大尺寸的更新程序或多个ECU，可能会给存储器带来沉重负担。

在目标ECU已经能够执行更新之后控制装置传送更新程序然后在ECU中开始更新的情况下，增加了从ECU能够执行更新到ECU更新完成的时间段。特别地，当存在需要同时更新的多个ECU时，由于在ECU已经能够执行更新之后开始更新各个ECU，因此增加了完成更新所有ECU所需的时间段。

本公开的一个方面的目的是提供一种更新控制装置、控制方法和计算机程序，以当车载控制装置不能更新其控制程序时，控制车载控制装置中的更新。

<本公开的效果>

根据本公开，能够在车载控制装置不能更新其控制程序时，控制车载控制装置中的更新。

[实施例的描述]

本公开的实施例至少包括以下内容。

(1)本实施例中包括的更新控制装置包括：通信单元，其被配置为经由包括车内通信线路的传输路径与车载控制装置通信；以及控制单元，其被配置为当下面定义的目标装置不能执行针对控制程序的更新处理时，使所通信单元发送请求消息。请求消息请求替代装置来替代地执行该更新处理的一部分，所述替代装置为下面定义的非目标装置。

目标装置：其控制程序将被更新的车载控制装置。

非目标装置：其控制程序将不被更新的车载控制装置。

因此，即使在作为更新目标的车载控制装置不能执行控制程序的更新处理时，也由替代装置执行所述更新处理的至少一部分。因此，与将更新程序存储在单个装置中直到作为更新目标的车载控制装置能够执行控制程序的更新处理的情况相比，可以将更新程序分发到不同的存储目的地，从而防止单个装置的存储器负担过重。另外，可以加快更新控制处理的开始，从而抑制作为更新目标的车载控制装置中更新完成的延迟。

(2)优选地，控制单元使通信单元向非目标装置发送询问非目标装置是否能够用作替代装置的询问消息，并且根据来自非目标装置的响应消息的内容，控制单元确定是否使用非目标装置作为替代装置。

因此，可以根据来自非目标装置的响应的内容来确定替代装置。

(3)优选地，根据多个非目标装置的优先级，控制单元向多个非目标装置询问多个非目标装置是否能够用作替代装置。

因此，可以将优先级高的车载控制装置确定为替代装置。

(4)优选地，当所述控制单元已经接收到指示动态处理能力不低于预定值的响应消息时，控制单元将已经发送响应消息的非目标装置确定为替代装置。

因此，可以将动态处理能力高的车载控制装置确定为替代装置。结果，可以防止被确定为替代装置的车载控制装置过载。

(5)优选地，根据非目标装置的优先级，控制单元从已经发送响应消息的多个非目标装置之中确定替代装置。

因此，可以将适当的车载控制装置确定为替代装置。

(6)优选地，在多个车内通信线路在通信单元处终止并且所述通信单元不具有选择性地激活连接到多个车内通信线路的装置的功能的情况下，控制单元认为与目标装置连接到的车内通信线路连接的非目标装置的优先级高于与没有连接目标装置的车内通信线路连接的非目标装置的优先级。

在通信单元不具有选择性地激活连接到车内通信线路的装置的功能的情况下，如果数据通过一条车内通信线路被传送，那么连接到该车内通信线路的所有车载控制装置被激活。在这种情况下，可以避免以下情况：通过将与没有连接作为更新目标的车载控制装置的车内通信线路连接的车载控制装置选择为替代装置，与替代装置连接到的车内通信线路连接的其他车载控制装置即使在这些车载控制装置不应被激活时也被不期望的激活。

(7)优选地，控制单元认为具有与车辆行驶无关的控制功能的非目标装置的优先级高于具有除了所述控制功能之外的功能的非目标装置的优先级。

因此，即使在待由非目标装置替代地执行的更新处理的一部分可能会对待由非目标装置原始执行的处理产生影响的情况下，也可以防止车辆行驶受到影响。

(8)优选地，更新处理包括多个处理，并且控制单元从所述多个处理之中确定替代装置被请求替代地执行的处理。

因此，可以加速完成作为更新目标的车载控制装置中更新，同时抑制替代车载控制处理过载。

(9)本实施例中包括的控制方法是一种在根据上述(1)～(8)中的任一项的更新控制装置中用于控制车载控制装置中的控制程序的更新的方法。

该控制方法提供了与根据上述(1)至(8)的更新控制装置的效果相同的效果。

(10)本实施例中包括的计算机程序使计算机用作根据上述(1)至(8)中的任一项的更新控制装置。

该计算机程序提供与根据上述(1)至(8)的更新控制装置的效果相同的效果。

[实施例的详细说明]

以下，参照附图对优选实施例进行描述。在以下描述中，相同的附图标记表示相同的部件和组成元件。其名称和功能也相同。因此，不需要对其进行重复描述。

<第一实施例>

[系统的总体配置]

图1是示出根据实施例的程序更新系统的总体配置的图。

如图1所示，本实施例的程序更新系统包括车辆1、管理服务器5和下载(DL)服务器6，它们可经由通信网络(如，广域通信网络2)彼此通信。

管理服务器5管理每个车辆1的更新信息。DL服务器6在其中存储更新程序。管理服务器5和DL服务器6例如由车辆1的汽车制造商操作，并且能够与由预先注册为会员的用户所拥有的大量车辆1通信。

每个车辆1设置有：车内网络(通信网络)4，其包括经由车内通信线路16连接的多个ECU 30以及网关10；无线通信单元15；以及由相应ECU 30控制的各种车载装置(未示出)。

车内网络4具有多条车内通信线路16A和16B。车内网络4包括多个通信组，即，总线连接到车内通信线路16A的ECU 30A至30C，以及总线连接到车内通信线路16B的ECU 30D和30E。网关10中继通信组之间的通信。因此，车内通信线路16A和16B连接到网关10。车内通信线路16A和16B也统称为车内通信线路16。

无线通信单元15可通信地连接到诸如移动电话网络的广域通信网络2，并且经由车内通信线路连接到网关10。无线通信单元15经由广域通信网络2从诸如管理服务器5和DL服务器6的外部装置接收信息，并且网关10经由车内通信线路将该信息发送到ECU 30。

网关10将从ECU 30获得的信息发送到无线通信单元15，并且无线通信单元15将该信息发送到诸如管理服务器5的外部装置。

ECU 30经由车内通信线路交换信息。

对于安装在车辆1中的无线通信单元15，除了车载专用通信终端之外，还可以想到用户所拥有的诸如移动电话、智能电话、平板型终端和笔记本PC(个人计算机)的装置。

图1示出了网关10经由无线通信单元15与外部装置通信的示例性情况，然而，如果网关10具有无线通信功能，则网关10本身可以与诸如管理服务器5的外部装置无线通信。

在图1所示的程序更新系统中，管理服务器5和DL服务器6被配置为单独的服务器。然而，这些服务器5和6可以被配置为单个服务器单元。管理服务器5和DL服务器6中的每一个可以由多个装置组成。

代替DL服务器6(或除了DL服务器6之外)，程序更新系统可以包括在其中存储更新程序并且可无线地或经由导线与网关10通信的外部装置。

[网关的内部配置]

图2是示出网关10的内部配置的框图。

如图2所示，网关10包括CPU 11、随机存取存储器(RAM)12、存储单元13、车内通信单元14等。尽管网关10经由车内通信线路连接到无线通信单元15，但是网关10和无线通信单元15可以被配置为单个装置。

通过将存储在存储单元13中的一个或多个程序读出到RAM 12并执行所读取的程序，CPU 11使网关10用作用于中继各种信息的中继装置。

例如，通过以时间共享的方式在程序之间切换，CPU 11可以并行执行多个程序。CPU 11可以是表示多个CPU组的CPU。在这种情况下，要由CPU 11实现的功能是要由多个CPU组彼此协作实现的功能。RAM 12由诸如静态RAM(SRAM)或动态RAM(DRAM)的存储器元件组成，并且在其中临时存储要由CPU 11执行的程序、执行程序所需的数据等。

由CPU 11实现的计算机程序可以以在被记录在诸如CD-ROM或DVD-ROM的公知记录介质中的状态下被传送，或者可以通过来自诸如服务器计算机的计算机装置的数据传输而被传送。

在这个方面，这同样适用于由稍后描述的ECU 30的CPU 31(参考图3)执行的计算机程序，以及由稍后描述的管理服务器5的CPU51(参考图4)执行的计算机程序。

在以下描述中，从主机装置到客户端装置的数据传送(传输)也被称为“下载”。

存储单元13由诸如闪存或EEPROM等的非易失性存储器元件构成。存储单元13在其中存储待由CPU 11执行的程序、执行程序所需的数据等，并且还在其中存储待被下载的从DL服务器6等接收的用于相应ECU 30的更新程序。

多个ECU 30经由布置在车辆1中的车内通信线路16连接到车内通信单元14。例如，车内通信单元14根据控制器局域网(CAN)的标准与ECU 30通信。车内通信单元14可采用的通信标准不限于CAN。可以采用其它标准，例如具有灵活数据速率的CAN(CANFD)、本地互连网络(LIN)、以太网(注册商标)或面向媒体的系统传输(MOST：注册商标)。多条车内通信线路16A和16B可以包括基于不同通信标准的通信线路。

车内通信单元14将从CPU 11提供的信息发送到目标ECU 30，并将从ECU 30接收到的信息提供给CPU 11。车内通信单元14可根据除了上述通信标准之外的用于车内网络4的其它通信标准与ECU30通信。

无线通信单元15包括无线通信设备，该无线通信设备包括天线和执行来自天线的无线电信号的发送/接收的通信电路。无线通信单元15能够在连接到诸如移动电话网络的广域通信网络2时与外部装置通信。

无线通信单元15经由通过基站(未示出)形成的广域通信网络2将从CPU 11提供的信息发送到诸如管理服务器5的外部装置，并且将从外部装置接收到的信息提供给CPU 11。

代替图2所示的无线通信单元15，可以采用用作车辆1内的中继装置的通信单元。该通信单元可以具有连接器，符合诸如通用串行总线(USB)或RS232C的标准的通信电缆连接到该连接器，并且该通信单元可以经由该通信电缆执行与连接到其的另一通信装置的有线通信。替代地，该通信单元可以具有符合诸如蓝牙(注册商标)或无线保真(Wi-Fi：注册商标)的标准的接口，并且可以经由短距离无线电执行与连接到其的另一通信装置的无线通信。

如果其他通信装置和诸如管理服务器5的外部装置可以经由广域通信网络2彼此无线通信，则外部装置和网关10可以通过以下通信路径彼此通信，该通信路径由按顺序的外部装置、其他通信装置、通信单元和网关10组成。

[ECU的内部配置]

图3是示出ECU 30的内部配置的框图。

如图3所示，ECU 30包括CPU 31、RAM 32、存储单元33、通信单元34等。ECU 30是车载控制装置，其单独地控制安装在车辆1中的目标装置。ECU 30的类型的示例包括电源控制ECU、发动机控制ECU、转向控制ECU和门锁控制ECU。

通过将预先存储在存储单元33中的一个或多个程序读出到RAM32并执行所读取的程序，CPU 31控制在CPU 31的控制下的目标装置的操作。CPU 31也可以是表示多个CPU组的CPU，并且要由CPU 31执行的控制可以由多个CPU组彼此协作地执行。

RAM 32由诸如SRAM或DRAM的存储器元件构成，并且在其中临时存储待由CPU 31执行的程序、执行程序所需的数据等。

例如，存储单元33由诸如闪存或EEPROM的非易失性存储器元件或诸如硬盘的磁存储装置组成。

存储单元33在其中存储待由CPU 31读取和执行的程序，存储在存储单元33中的信息的示例包括：计算机程序，其使CPU 31执行用于控制作为车内控制目标的目标设备的信息处理；以及控制程序，如在执行程序的过程中将使用的数据，例如参数和地图信息。

网关10经由布置在车辆1中的车内通信线路连接到通信单元34。

例如，通信单元34根据诸如CAN、以太网或MOST的标准与网关10通信。

通信单元34将从CPU 31提供的信息发送到网关10，并将从网关10接收的信息提供给CPU 31。通信单元34可以根据除了上述通信标准之外的用于车载网络的其它通信标准与网关10通信。

ECU 30的CPU 31包括启动单元35，启动单元35将由CPU 31执行的控制的模式在“正常模式”和“重新编程模式”(以下也称为“repro模式”)之间切换。

正常模式是其中ECU 30的CPU 31执行对目标装置的原始控制(例如，用于燃料发动机的发动机控制或用于门锁电机的门锁控制)的控制模式。

重新编程模式是其中CPU 31更新用于控制目标装置的控制程序的控制模式。

即，重新编程模式是其中CPU 31执行从存储单元33中的ROM区域中擦除控制程序的数据/在存储单元33中的ROM区域上重写控制程序的数据的控制模式。在该控制模式中CPU 31能够将存储在存储单元33中的ROM区域中的控制程序更新到新版本。

在repro模式中，当CPU 31将控制程序的新版本写入存储单元33中时，启动单元35临时重新启动(复位)ECU 30，并对其中已被写入控制程序的新版本的存储区域执行验证处理。

在完成验证处理之后，启动单元35利用更新的控制程序来操作CPU 31。

将更新程序从DL服务器6经由网关10下载到ECU 30并通过使用该更新程序来更新控制程序的过程也称为在线更新。

[管理服务器的内部结构]

图4是示出管理服务器5的内部结构的框图。

如图4所示，管理服务器5包括CPU 51、ROM 52、RAM 53、存储单元54、通信单元55等。

通过将预先存储在ROM 52中的一个或多个程序读出到RAM 53并执行所读出的程序，CPU 51控制每个硬件组件的操作，并使管理服务器5用作可与网关10通信的外部装置。CPU 51也可以是表示多个CPU组的CPU，并且由CPU 51实现的功能可以是由多个CPU组彼此协作实现的功能。

RAM 53由诸如SRAM或DRAM的存储器元件组成，并且在其中临时存储待由CPU 51执行的程序、执行程序所需的数据等。

例如，存储单元54由诸如闪存或EEPROM的非易失性存储器元件或诸如硬盘的磁存储装置组成。

通信单元55由根据预定通信标准执行通信处理的通信装置组成。通信单元55在连接到诸如移动电话网络的广域通信网络2的同时执行通信处理。通信单元55经由广域通信网络2将从CPU 51提供的信息发送到外部装置，并且将经由广域通信网络2接收到的信息提供给CPU 51。

[根据比较示例的控制程序更新顺序]

图5是示出在根据比较示例的程序更新系统中执行的控制程序的在线更新的流程的示例的时序图。在根据比较示例的控制程序更新顺序和根据稍后描述的实施例的控制程序更新顺序中的任一个中，图1所示的ECU 30A是其控制程序待被更新的ECU(该ECU也称为“目标ECU”)。即使当目标ECU是图1所示的任何其它ECU 30时，也执行相同的操作。一个或多个更新程序被存储在DL服务器6中，并且例如，管理服务器5确定对预先注册的车辆1中的ECU的控制程序进行更新的定时。更新的定时可以由例如车辆1的汽车制造商来设置。

控制程序不仅包括程序本身，而且包括在执行程序时要使用的诸如参数和地图信息的数据。术语“控制程序”表示程序和数据。因此，更新程序不仅包括用于更新程序的程序，而且包括用于更新在执行程序过程中要使用的数据的数据。

在到达更新控制程序的定时时，管理服务器5向对应的车辆1的网关10发送更新通知。在从管理服务器5接收到更新通知时，网关10向DL服务器6发送请求以下载更新程序。在从网关10接收到下载请求时，DL服务器6向网关10发待被下载的更新程序(步骤S1)。

网关10下载更新程序并将更新程序临时存储在存储单元13中(步骤S2)。此后，网关10询问作为目标ECU的ECU 30A(在本说明书中缩写为“目标ECU 30A”)关于ECU 30A是否能够更新控制程序(步骤S3A)。

在本说明书中，时段T1表示目标ECU 30A不能执行控制程序的更新(该状态也称为“更新不可执行状态”)的时段，时段T2表示目标ECU 30A能够执行更新(该状态也称为“更新可执行状态”)的时段。时段T1例如是车辆1正在行驶的时段，时段T2例如是车辆1停止的时段。

如果在时段T1期间进行步骤S3A中的询问，目标ECU 30A回答其处于更新不可执行状态(步骤S3B)。在这种情况下，网关10将更新程序保持在存储单元13中，并且以预定间隔向目标ECU 30A重复请求更新。

当时段T1已经结束并且时段T2已经到达时，目标ECU 30A进入更新可执行状态。因此，如果在时段T2期间进行询问，则目标ECU30A回答其处于更新可执行状态。在从目标ECU30A接收到该回答时，网关10将更新程序发送到目标ECU 30A，并且请求对控制程序的更新(步骤S4)。响应于该请求，目标ECU 30A执行更新处理(步骤S5)，由此控制程序被更新。

将在ECU 30中执行的更新处理是在ECU 30从网关10接收到更新程序之后开始并且当更新的(新版本)控制程序被存储在存储单元33中的控制程序存储区域中时结束的一系列处理。更新处理包括从开始到结束的多个处理。作为一个示例，更新处理包括如下五个处理#1至#5。包括在更新处理中的处理不限于这些处理。

处理#1：将文件(更新程序)存储在存储单元33中

处理#2：对编码文件进行解码以获得压缩文件

处理#3：对解码并压缩后的文件进行解压缩，以获得更新程序

处理#4：将更新程序应用于更新前的控制程序(旧版本控制程序)以构造更新的(新版本)控制程序

处理#5：在存储单元33中的控制程序存储区域上写入新版本控制程序，以用新版本控制程序重写旧版本控制程序

在步骤S4中已经接收到更新请求的目标ECU 30A从处理#1开始更新处理，并且顺序地执行处理直到处理#5，以完成更新处理。假定处理时间D对应于从时段T1转换到时段T2并且目标ECU 30A进入更新可执行状态时到在目标ECU 30A中完成更新处理时的时段(换句话说，在目标ECU 30A中正在执行更新处理的时段)，比较示例的处理时间D1是从时段T1转换到时段T2的定时t 1到在目标ECU 30A中完成步骤S5中的更新处理的定时t2的时间(t2-t1)。

[根据实施例的控制程序更新顺序]

图6是示出在根据第一实施例的程序更新系统中执行的控制程序的在线更新的流程的示例的时序图。在图6中，与根据图5所示的比较示例的在线更新的流程中相同的操作由相同的步骤号表示。

参照图6，在根据本实施例的程序更新系统中，网关10用作更新控制装置，其控制目标ECU 30A中的控制程序的更新。当网关10响应于在时段T1内进行的步骤S3A中的询问而从目标ECU 30A接收到其处于更新不可执行状态的回答时(步骤S3B)，网关10执行用于控制对目标ECU 30A中的控制程序的更新的更新控制处理(步骤S20)。

更新控制处理是这样一种处理：其中，当目标ECU 30A处于更新不可执行状态时，使得不同于目标ECU 30A的ECU(也称为“替代ECU”)使用更新程序替代地执行更新处理的至少一部分。在图6的示例中，替代ECU是图1所示的ECU 30B。替代ECU不特别限于ECU30B，而可以是除了目标ECU之外的任何ECU 30。这也适用于根据稍后描述的第二实施例和第三实施例的程序更新系统的操作(图9、图10)。即使当除了ECU 30B之外的ECU 30用作替代ECU时，也执行与图6所示相同的操作。具体地，参照图6，网关10询问作为替代ECU的ECU 30B(在本说明书中缩写为“替代ECU 30B”)关于ECU 30B是否能够执行更新处理(步骤S21A)。当从替代ECU 30B接收到其处于更新可执行状态的回答时(步骤S21B)，网关10将更新程序发送到替代ECU 30B，并请求作为处理#1至处理#5的至少一部分的第一更新处理(步骤S22)。响应于该请求，替代ECU 30B执行第一更新处理(步骤S23)。第一更新处理的结果存储在替代ECU30B的存储单元33中。

当时段T1已经结束并且时段T2已经到达时，并且如果网关10从目标ECU 30A获得其处于更新可执行状态的回答，则网关10请求替代ECU 30B发送第一更新处理的结果(步骤S24)，并且从替代ECU30B获取第一更新处理的结果(步骤S25)。网关10将第一更新处理的结果发送到目标ECU 30A，并请求作为处理#1到处理#5的剩余部分的第二更新处理(步骤S4')。响应于该请求，在目标ECU 30A中执行第二更新处理(步骤S5')，由此更新控制程序。

根据本实施例的程序更新系统中的目标ECU 30A中的处理时间D2对应于从时段T1已经转换到时段T2的定时t 1到在目标ECU 30A中完成步骤S5'中的更新处理的定时t3的时间(t3-t 1)。在根据本实施例的控制程序更新顺序中，由于在时段T1期间更新处理的一部分在替代ECU 30B中被执行，所以可以使得目标ECU 30A中的处理时间D2短于根据比较示例的目标ECU 30A中的处理时间D1。

[网关的功能配置]

参照图2，网关10的CPU 11包括作为执行更新控制处理的功能的更新控制单元111。更新控制处理包括确定处理。因此，更新控制单元111包括作为执行确定处理的功能的确定单元112。当CPU 11读出存储在存储单元13中的一个或多个程序并执行所读取的程序时，在所述CPU 11中实现这些功能。然而，这些功能中的至少一部分可以通过诸如电子电路的硬件来实现。

(确定处理)

确定处理包括确定替代ECU的第一处理和确定待由替代ECU替代执行的处理的第二处理。在第一处理中，确定单元112将作为非目标装置而不是目标ECU的多个ECU 30中的其动态处理能力不低于预定值的ECU 30(如，其中CPU 31的利用率不高于阈值的ECU 30)确定为替代ECU。因此，可以防止替代ECU过载。

对于第一处理，确定单元112获取各个ECU 30的CPU 31的利用率。作为一个示例，确定单元112向每个ECU 30询问CPU 31的利用率，以了解所述ECU 30是否能够执行更新处理。确定单元112生成通过将询问命令添加至具有在CAN通信中的传输信息的格式的帧而获得的询问帧(消息)，并使车内通信线路14发送所述帧至相应的ECU 30。

作为一个示例，确定单元112将多个ECU 30中CPU 31的利用率最低的ECU 30确定为替代ECU，因此，具有最高动态处理能力的ECU 30被确定为替代ECU。

在另一示例中，确定单元112根据优先级从CPU 31的利用率不高于阈值的多个ECU30中确定替代ECU。例如，控制与行驶无关的功能的ECU(如，车载媒体播放器)的优先级被设置为高于控制与行驶相关的功能的ECU的优先级。当替代ECU替代地执行更新处理的一部分时，更新处理的该部分有时会影响ECU最初执行的处理。在这种情况下，如果替代ECU是用于控制与车辆行驶相关的功能的ECU，则更新处理的部分有时会影响车辆行驶。因此，通过将较高的优先级给予控制与车辆行驶有关的功能的ECU，能够防止车辆行驶受到影响。

在另一示例中，连接到与连接网关10和目标ECU的车内通信线路16相同的车内通信线路16的ECU的优先级被设置为高于连接到与其不同的车内通信线路16的ECU的优先级。具体地，在车内网络4具有图1所示的配置并且目标ECU是ECU 30A的情况下，与ECU 30A连接到的车内通信线路16A连接的ECU 30B和30C被给予比连接到不同的车内通信线路16B的ECU30D和30E更高的优先级。其原因如下。在车内通信是CAN通信并且不具有选择性地激活连接到每个车内通信线路16的多个装置的功能(所谓的“部分唤醒”)(即，被称为“部分网络”的功能)的情况下，如果通过一个车内通信线路16传送数据，则激活连接到该车内通信线路16的所有ECU。因此，如果与没有连接目标ECU的车内通信线路16连接的ECU 30用作替代ECU，则与替代ECU连接到的车内通信线路16连接的ECU 30在即使当这些ECU不应被激活时也将被激活。

在图6和后面描述的图9和图10中，ECU 30B用作替代ECU的示例。据认为ECU 30B被确定为替代ECU，因为其优先级高于ECU 30D和30E的优先级。即使当替代ECU 30是优先级较低的ECU D或30E时，也执行与这些图中所述相同的操作。

确定单元112可向安装在车辆1中的除了目标ECU(例如，ECU30A)之外的所有ECU30进行询问。因此，可以确定最佳的替代ECU。可替代地，确定单元112可以仅向ECU中的除了目标ECU之外的具有高优先级(例如，不低于预定优先级)的ECU进行询问。因此，可以有效地确定替代ECU。

在第二处理中，确定单元112确定更新处理中包括的多个处理(#1～#5)之中待由替代ECU执行的一个或多个处理。为此，确定单元112将每个处理所需的吞吐量与替代ECU的动态处理能力进行比较。然后，确定单元112按照从处理#1开始的顺序确定每个处理所需的吞吐量是否在替代ECU的动态处理能力的指定范围内，并且将满足该条件的(一个或多个)处理确定为将由替代ECU替代执行的处理。

由于每个处理的吞吐量依赖于更新程序的数据大小，因此，例如，可以通过预先存储数据大小和吞吐量之间的对应关系，基于数据大小来计算吞吐量。可以从DL服务器6获取更新程序的数据大小。

为了请求替代ECU执行第一更新处理，更新控制单元111生成包括请求执行所确定的处理的命令的帧(消息)，并且使车内通信单元14将该帧发送到替代ECU。

[更新控制处理]

图7是示出更新控制处理的具体示例的流程图。当网关10的CPU11将存储在存储单元13中的一个或多个程序读出到RAM 12上并执行所读取的程序以实现确定单元112和更新控制单元111的功能时，图7的流程图中所示的处理被执行。当网关10已从DL服务器6下载了更新程序时，开始图7所示的处理。

参照图7，CPU 11查询通过使用更新程序来更新控制程序的目标ECU(例如，ECU30A)的状态，并确定目标ECU是处于更新可执行状态还是处于更新不可执行状态。当目标ECU处于更新可执行状态时(步骤S101中的是)，CPU 11将更新程序发送到目标ECU并请求更新(步骤S102)。

当目标ECU处于更新不可执行状态时(步骤S101中的否)，CPU11执行确定处理(步骤S103)。然后，CPU 11将更新程序发送到所确定的替代ECU(例如，ECU 30B)，并且指示替代ECU执行第一更新处理，该第一更新处理是使用更新程序的更新处理的确定的处理(步骤S105)。在步骤S105中，CPU 11生成必要的帧，并使车内通信单元14将该帧发送到替代ECU。

此后，CPU 11再次询问目标ECU的状态。当目标ECU已经进入更新可执行状态时(步骤S107中的是)，CPU 11从替代ECU请求第一更新处理的结果，将所获取的处理结果发送到目标ECU，并且请求目标ECU执行作为剩余更新处理的第二更新处理(步骤S109)。在步骤S109中，CPU 11生成必要的帧，并且使车内通信单元14将该帧发送到替代ECU。

图8是示出图7所示的步骤S103中的确定处理的流程的流程图。首先，CPU 11执行确定处理的第一处理(步骤S201至S205)以确定替代ECU。参照图8，CPU 11向除了目标ECU之外的多个ECU 30询问动态处理能力(CPU 31的利用率)(步骤S201)。在步骤S201中，CPU 11生成必要的帧，并使车内通信单元14将该帧发送到除了目标ECU之外的多个ECU 30。优选地，CPU 11根据预先存储的优先级询问除了目标ECU之外的多个ECU。

当存在已经回答了在步骤S201中进行的询问的ECU 30时(步骤S203中的是)，CPU11将已经回答了动态处理能力的ECU 30确定为替代ECU(步骤S205)。

当已经确定了替代ECU时，CPU 11执行确定处理的第二处理，以确定将由替代ECU替代执行的处理(步骤S207)。

[第一实施例的效果]

在根据第一实施例的程序更新系统中，当网关10已经从DL服务器6下载了更新程序时，如果目标ECU不能执行更新处理，则另一ECU 30接收更新程序，并且替代地执行更新处理的至少一部分。

在根据比较示例的程序更新系统中，网关10保留更新程序，直到已经经过了时段T1并且目标ECU已经变得能够执行更新处理。因此，时段T1越长，网关10中的存储器负担越大。特别是，在已经下载了用于多个ECU的多个更新程序并且没有目标ECU能够执行更新处理的情况下，网关10中的存储器上的负担成为严重的问题。

与比较示例相反，在根据第一实施例的程序更新系统中，在时段T1期间，更新程序从网关10发送到另一ECU。也就是说，分散地存储更新程序。因此，防止网关10中的存储器负担过重。

此外，在根据比较示例的程序更新系统中，由于在时段T1已经转换到时段T2并且目标ECU已经进入更新可执行状态之后开始更新处理，所以目标ECU中的处理时间D1增加。结果，延迟了在线更新的完成。

与比较示例相反，在根据第一实施例的程序更新系统中，在时段T1期间由替代ECU执行更新处理的至少一部分(第一更新处理)。在经过了时段T1之后，在目标ECU中执行剩余的更新处理(第二更新处理)。因此，目标ECU中的处理时间D2比处理时间D1短。结果，避免延迟在线更新的完成。

<修改1>

在图6的示例中，当目标ECU已经进入更新可执行状态时，网关10获取在替代ECU中执行的第一更新处理的结果，并将处理的结果发送到目标ECU。然而，将处理结果发送到目标ECU不限于该方法。网关10可以指示替代ECU将第一更新处理的结果发送到目标ECU。因此，提高了数据传输的效率。这也适用于以下实施例。

<修改2>

可以有多个替代ECU。即，在确定处理的第一处理中，确定单元112可以将CPU 31的利用率不高于阈值的多个ECU确定为替代ECU。在这种情况下，在第二处理中，确定单元112确定将由各个替代ECU替代执行的处理。然后，根据处理的顺序，更新控制单元111将在已经执行了前一处理的替代ECU中获得的处理结果发送到将替代地执行后一处理的替代ECU，然后请求执行后一处理。

由于多个ECU用作替代ECU，所以可以减少每个替代ECU的处理负担。

<第二实施例>

在根据第一实施例的程序更新系统中，网关10用作更新控制装置以执行上述更新控制处理。但是，更新控制装置并不限于网关10。在另一示例中，目标ECU也可以用作更新控制处理以执行更新控制处理用以自己控制更新。在这种情况下，为了执行更新控制处理，目标ECU的CPU 31包括与图3所示的更新控制单元111相对应的更新控制单元311。此外，更新控制单元311包括与确定单元112相对应的确定单元312。

图9是示出在根据第二实施例的程序更新系统中执行的控制程序的在线更新的流程的示例的时序图。在图9中，与图6所示的在线更新的流程中相同的操作由相同的步骤号表示。

参照图9，在根据第二实施例的程序更新系统中，网关10从DL服务器6下载更新程序(步骤S1)，并将更新程序发送到目标ECU以请求更新(步骤S1')。

目标ECU将接收到的更新程序存储在存储单元33中(步骤S2)。目标ECU在时段T1期间执行更新控制处理(步骤S30)。即，在该第二实施例中，目标ECU向其它ECU 30询问其动态处理能力(CPU 31的利用率)(步骤S31A)。当存在回答了该询问的ECU 30(步骤S31B)时，目标ECU从ECU 30中确定替代ECU。此外，目标ECU确定将由替代ECU执行的处理。然后，目标ECU将更新程序发送到替代ECU，并请求第一更新处理(步骤S33)。

当到达时段T2并且目标ECU已经进入更新可执行状态时，目标ECU从替代ECU请求第一更新处理的结果(步骤S37)，并且获取处理的结果(步骤S39)。目标ECU通过使用从替代ECU获取的第一更新处理的结果来执行第二更新处理(步骤S5')。

在根据第二实施例的程序更新系统中，与更新程序被存储在目标ECU中直到更新不可执行状态转变为更新可执行状态的情况相比，可以防止目标ECU中的存储器负担过重。另外，由于如在根据第一实施例的程序更新系统中一样可以减少目标ECU中的处理时间，因此可以防止在线更新的完成被延迟。

<第三实施例>

作为更新控制装置的又一示例，管理服务器5可以用作更新控制装置。因此，在根据第三实施例的程序更新系统中，如图4所示，管理服务器5的CPU 51包括与更新控制单元111相对应的更新控制单元511，以执行更新控制处理。此外，更新控制单元511包括与确定单元112相对应的确定单元512。

图10是示出在根据第三实施例的程序更新系统中执行的控制程序的在线更新的流程的示例的时序图。在图10中，与图6所示的在线更新的流程中相同的操作由相同的步骤号表示。

参照图10，在根据第三实施例的程序更新系统中，网关10从DL服务器6下载更新程序(步骤S1)，并且如根据第一实施例的在线更新中一样，向目标ECU询问其状态(步骤S3A)。该询问可以响应于来自管理服务器5的请求而被执行。当目标ECU处于更新不可执行状态时(步骤S3B)，网关10通知管理服务器5目标ECU处于更新不可执行状态(步骤S41)。

在从网关10接收到通知时，管理服务器5执行更新控制处理(步骤S30)。管理服务器5请求网关10执行关于动态处理能力的询问(步骤S42)。响应于该请求，网关10向除了目标ECU之外的ECU询问其动态处理能力(CPU 31的利用率)(步骤S43A)。在接收到对询问的回答时，网关10向管理服务器5通知该回答(步骤S44)。

基于来自网关10的通知，管理服务器5执行确定处理的第一处理以确定替代ECU。另外，管理服务器5执行确定处理的第二处理，以确定向替代ECU请求执行的处理。然后，管理服务器5请求网关10向作为替代ECU的相应ECU 30请求执行第一更新处理(步骤S45)。响应于该请求，网关10将更新程序发送到替代ECU，并且请求第一更新处理(步骤S46)。

当到达时段T2且已经获得目标ECU处于更新可执行状态的回答时，网关10向管理服务器5发送通知(步骤S48)。在接收到该通知时，管理服务器5请求网关10向目标ECU请求执行第二更新处理(步骤S45)。响应于来自管理服务器5的请求，网关10请求来自替代ECU的处理结果(步骤S50)，并且从替代ECU获取处理结果(步骤S51)。网关10将处理结果发送到目标ECU，并请求第二更新处理(步骤S4')。因此，第二更新处理在目标ECU中被执行(步骤S5')。

在根据第三实施例的程序更新系统中，与比较示例的在线更新相比，可以防止网关10中的存储器负担过重。另外，由于如在根据第一实施例的程序更新系统中一样可以减少目标ECU中的处理时间，因此可以抑制在线更新的完成被延迟。

所公开的特征由一个或多个模块实现。例如，该特征可以通过以下方式实现：诸如电路元件等的硬件模块；定义实现该特征的处理的软件模块；或者硬件模块和软件模块的组合。

所公开的特征可以作为程序来提供，该程序是一个或多个软件模块的组合，用于使计算机执行上述操作。这样的程序可以被记录在计算机可读记录介质中，诸如附属于计算机的软盘、CD-ROM(光盘只读存储器)、ROM、RAM、存储卡等，并且作为程序产品被提供。替代地，可以通过将程序记录在诸如并入计算机中的硬盘的记录介质中来提供该程序。该程序也可以通过网络下载来提供。

根据本公开的程序可以在预定的定时从作为计算机的操作系统(OS)的一部分提供的程序模块中调用预定阵列中的必要模块，并且可以使得处理被执行。在这种情况下，模块不被包括在程序本身中，并且与OS协作地执行处理。根据本公开的程序还包括这样的不包含模块的程序。

根据本公开的程序可以通过被并入另一程序的一部分中来提供。在这种情况下，包括在其它程序中的模块也未被包括在该程序本身中，并且与其它程序协作执行处理。根据本公开的程序还包括并入另一程序中的这种程序。待被提供的程序产品被安装在诸如硬盘的程序存储单元中，然后被执行。该程序产品包括程序本身和记录该程序的记录介质。

注意，这里公开的实施例在所有方面仅仅是说明性的，而不应被认为是限制性的。本发明的范围不是由上述说明限定，而是由权利要求的范围限定，并且旨在包括与权利要求的范围等同的含义以及该范围内的所有修改。

附图标记列表

1车辆

2广域通信网络

4车内网络

5管理服务器

6DL服务器

10网关

11CPU

12RAM

13存储单元

14车内通信单元

15无线通信单元

16,16A,16B车内通信线路

30ECU

31CPU

32RAM

33存储单元

34通信单元

35启动单元

51CPU

52ROM

53RAM

54存储单元

55通信单元

111更新控制单元

112确定单元

311更新控制单元

312确定单元

511更新控制单元

512确定单元

Claims (10)

1.一种更新控制装置，包括：

通信单元，其被配置为经由包括车内通信线路的传输路径与车载控制装置通信；以及

控制单元，其被配置为当下面定义的目标装置不能执行针对控制程序的更新处理时，使所述通信单元发送请求消息，所述请求消息请求替代装置来替代地执行所述更新处理的一部分，所述替代装置为下面定义的非目标装置，

目标装置：其控制程序将被更新的车载控制装置，

非目标装置：其控制程序将不被更新的车载控制装置。

2.根据权利要求1所述的更新控制装置，其中，

所述控制单元使所述通信单元向所述非目标装置发送询问所述非目标装置是否能够用作所述替代装置的询问消息，并且根据来自所述非目标装置的响应消息的内容，所述控制单元确定是否使用所述非目标装置作为所述替代装置。

3.根据权利要求2所述的更新控制装置，其中，

根据多个非目标装置的优先级，所述控制单元向所述多个非目标装置询问所述多个非目标装置是否能够用作所述替代装置。

4.根据权利要求2或3所述的更新控制装置，其中，

当所述控制单元已经接收到指示动态处理能力不低于预定值的所述响应消息时，所述控制单元将已经发送所述响应消息的所述非目标装置确定为所述替代装置。

5.根据权利要求4所述的更新控制装置，其中，

根据所述非目标装置的优先级，所述控制单元从已经发送响应消息的多个非目标装置之中确定所述替代装置。

6.根据权利要求2至5中任一项所述的更新控制装置，其中，

在多个车内通信线路在所述通信单元处终止并且所述通信单元不具有选择性地激活连接到所述多个车内通信线路的装置的功能的情况下，

所述控制单元认为与所述目标装置连接到的车内通信线路连接的非目标装置的优先级高于与没有连接所述目标装置的车内通信线路连接的非目标装置的优先级。

7.根据权利要求2至6中任一项所述的更新控制装置，其中，

所述控制单元认为具有与车辆行驶无关的控制功能的非目标装置的优先级高于具有除了所述控制功能之外的功能的非目标装置的优先级。

8.根据权利要求1至7中任一项所述的更新控制装置，其中，

所述更新处理包括多个处理，以及

所述控制单元从所述多个处理之中确定所述替代装置被请求替代地执行的处理。

9.一种在更新控制装置中使用的控制方法，所述更新控制装置被配置为经由包括车内通信线路的传输路径与车载控制装置通信，所述方法包括：

当下面定义的目标装置不能执行针对控制程序的更新处理时，发送请求消息，所述请求消息请求替代装置来替代地执行所述更新处理的一部分，所述替代装置为下面定义的非目标装置，

目标装置：其控制程序将被更新的车载控制装置，

非目标装置：其控制程序将不被更新的车载控制装置。

10.一种用于使计算机用作更新控制装置的计算机程序，所述更新控制装置被配置为经由包括车内通信线路的传输路径与车载控制装置通信，

所述计算机程序使所述计算机用作：

通信单元，其被配置为经由包括车内通信线路的传输路径与车载控制装置通信；以及

控制单元，其被配置为当下面定义的目标装置不能执行针对控制程序的更新处理时，使所述通信单元发送请求消息，所述请求消息请求替代装置来替代地执行所述更新处理的一部分，所述替代装置为下面定义的非目标装置，

目标装置：其控制程序将被更新的车载控制装置，

非目标装置：其控制程序将不被更新的车载控制装置。

Images