CN111506537A - 车载系统和电子控制单元 - Google Patents

Abstract

本公开涉及车载系统和电子控制单元。一种包括经由网络相互耦接的多个电子控制单元(ECU)的车载系统，所述多个电子控制单元(ECU)包括第一ECU和第二ECU。在车载系统中，记录有多个ECU的软件的标识信息的组合的列表存储在第一ECU的存储部中和第二ECU的存储部中。响应于启动车载系统，第一ECU将在第一ECU的存储部中存储的列表的标识信息与在第二ECU的存储部中存储的列表的标识信息进行比较，并且识别列表中较新的列表。第一ECU基于在所识别的列表中记录的软件标识信息的组合来确定多个ECU的软件的组合是否一致。

Description

车载系统和电子控制单元

技术领域

本文讨论的实施方式涉及车载系统和ECU。

背景技术

迄今为止，已知在多个固件下操作的车辆控制单元。在这样的车辆控制单元中，对由服务器等管理的版本列表与车辆控制单元中的版本执行一致性验证(alignmentverification)，并且当不存在一致性时从服务器下载固件。更具体地，这样的车辆控制单元首先确定版本管理列表与收集的版本之间是否缺乏一致性。然后，当确定实际版本与在版本控制列表上列出的每个固件的版本彼此不同时，车辆控制单元将实际版本和版本控制列表上列出的代表性版本发送至服务器。然后，车辆控制单元使用由服务器提供的用于更新的固件来更新安装在车辆控制单元上的固件。

另外，已知系统在对ECU程序执行版本更新时主动防止由于版本与通过总线连接的另一ECU上的程序不一致而导致的ECU操作故障的发生。在这样的系统中，提供服务器以保存作为当前安装在电子控制单元上的程序的更新的版本更新程序。电子控制单元或服务器中的任一个保存关于当前程序与版本更新程序之间的依赖关系的信息，并且确定是否可以根据依赖关系信息更新为版本更新程序。当确定能够更新时，电子控制单元或服务器将保存在服务器上的版本更新程序发送至电子控制单元。

相关专利文献

日本公开特许公报第2013-250923号

日本公开特许公报第2009-053920号

每个ECU上的软件版本之间存在依赖关系，以链接ECU并使ECU协同操作。有时会采取包括向用于管理这样的依赖关系的主ECU通知它们自身的信息的从ECU的配置。

在这样的情况下，例如，主ECU利用存储在主ECU的存储部中的记录有每个从ECU的软件版本的列表来管理在每个从ECU上操作的软件版本。

然而，在ECU被替换时，有时记录有每个ECU的软件版本的列表是初始化的列表。这导致由主ECU识别的每个从ECU上的软件的版本与在每个从ECU上实际操作的软件的版本之间出现差异。

在这样的情况下，可能无法适当地执行主ECU与每个从ECU之间的链接，这有时会导致不能再操作车载系统。因此，存在如下问题：在保存有记录有软件标识信息的列表的ECU已被替换的情况下，需要验证在多个ECU上实际操作的软件的标识信息的组合。

发明内容

本文公开的技术的一方面的目的是即使在保存用于管理多个ECU的软件的列表的ECU已被替换的情况下也能够对用于操作多个ECU的软件的组合进行验证。

根据实施方式的一方面，车载系统包括经由网络相互耦接的多个电子控制单元(ECU)，所述多个电子控制单元(ECU)包括第一ECU和第二ECU。第一ECU和第二ECU各自包括存储器和耦接至存储器的处理器。在车载系统中，记录有多个ECU的软件的标识信息的组合的列表存储在第一ECU的存储部中和第二ECU的存储部中。响应于启动车载系统，第一ECU将在第一ECU的存储部中存储的列表的标识信息与在第二ECU的存储部中存储的列表的标识信息进行比较，并且识别列表中较新的列表。第一ECU基于在所识别的列表中记录的软件标识信息的组合来确定多个ECU的软件的组合是否一致。

附图说明

图1是根据实施方式的车载系统的示意性框图。

图2是说明软件版本的一致性的说明图。

图3是说明在主ECU的列表存储部中存储的列表的说明图。

图4是说明在从ECU的列表存储部中存储的列表的说明图。

图5是根据实施方式的用作主ECU的计算机的示意性配置的框图。

图6是示出根据实施方式的用作从ECU的计算机的示意性配置的框图。

图7是示出本实施方式的信息处理例程的示例的流程图。

图8是示出本实施方式的操作一致性处理例程的示例的流程图。

图9是说明在回退操作期间列表的选择的说明图。

图10是说明在应用本实施方式时的操作的示例的说明图。

图11是说明在应用本实施方式时的操作的示例的说明图。

图12是说明在应用本实施方式时的操作的示例的说明图。

图13是说明在应用本实施方式时的操作的示例的说明图。

图14是说明在应用本实施方式时的操作的示例的说明图。

图15是说明在应用本实施方式时的操作的示例的说明图。

图16是说明在应用本实施方式时的操作的示例的说明图。

图17是说明在应用本实施方式时的操作的示例的说明图。

具体实施方式

下面参照附图对关于本文中公开的技术的实施方式的示例进行详细说明。

实施方式的车载系统

如图1所示，根据实施方式的车载系统1包括多个ECU。在本实施方式中，将说明其中车载系统由单个主ECU和两个从ECU实现的情况的示例。主ECU 10是本文公开的技术的第一ECU的示例。从ECU 20和从ECU 30是本文公开的技术的第二ECU的示例。

在图1所示的示例中，根据实施方式的车载系统1包括主ECU 10、从ECU 20和从ECU30。主ECU 10、从ECU 20和从ECU 30相互连接以便能够彼此通信。

为了对安装至车辆的多个ECU进行操作，需要使每个ECU中的软件的版本一致。为此，可以考虑使用软件标识信息来标识每个ECU中的软件的版本(以下简称为“软件版本”)，从而验证每个ECU的软件版本是否彼此一致。

例如，当采取这样的方法时，通过采用将每个ECU的软件版本一起存储的列表可以使得每个ECU的软件版本的管理变得更容易。更具体地，可以参考在这样的列表中记录的每个ECU的软件版本来验证用于操作给定ECU的软件的软件版本。

例如，在列表存储在服务器上的情况下，当车载系统启动时，安装至车辆的多个ECU中的至少一个ECU与服务器通信，并且参考在服务器上存储的列表。然后，能够以这种方式在车辆侧验证安装在车辆中的多个ECU的软件版本。然后，在多个ECU的软件版本存在一致性的情况下，开始操作每个ECU，以能够适当地操作车载系统。

但是，有时在每个ECU启动时无法实现与服务器的通信。在这样的情况下，安装在车辆中的ECU不能参考该列表，并且不能对多个ECU的软件版本进行验证。这样的情况导致：由于不能验证使用哪个软件版本来对安装至车辆的多个ECU中的每一个进行操作而不能启动车载系统。

在这样的情形下，采取的可能配置是：将列表保存在车载系统中，并且在车辆内验证每个ECU的软件版本。但是，有时会替换ECU。在这样的情况下，当保存列表的ECU(例如主ECU)已被替换的情况下，那么最新列表将不再存在，从而无法验证每个ECU的软件版本的一致性。

图2是说明软件版本一致性的说明图。在附图中，软件版本被表示为“SW Ver”。例如，如图2所示，多个ECU中的每一个的各自的软件版本列表都被记录在表中。列表L1记录了作为主ECU的软件版本的“001”、作为ECU A的软件版本的“001”以及作为ECU B的软件版本的“001”。

如图2中的V所示，考虑其中ECU A的软件被更新并且ECU A的软件版本变为“002”的情况。在这样的情况下，列表L1被更新为列表L2，并且ECU A的软件版本“001”被重写为“002”。

然而，如图2中的E所示，在ECU A的软件被更新之后主ECU被替换了的情况下，则主ECU的存储部中的列表变为处于初始状态的列表L3。在这种情况下，实际操作ECU A的软件的软件版本与列表L3上记录的ECU A的软件版本不匹配。

在这样的情况下，车载系统不能确定是否可以操作每个ECU，因为实际操作的软件版本与列表上记录的软件版本不一致。

可以考虑如下配置：在替换主ECU时，将在新的主ECU上存储的列表更新为最新列表。但是，取决于执行替换工作的位置，可能存在在替换主ECU时无法将列表更新为最新列表的情况，这可能导致上述问题仍然发生。

为了解决这个问题，本实施方式的车载系统1在不与外部服务器通信的情况下通过车辆侧验证来验证每个ECU的软件版本的一致性。注意，在本实施方式的车载系统1中，即使在保存记录有每个ECU的软件版本的列表的ECU被替换了的情况下，也能在不与外部服务器通信的情况下在车辆侧验证每个ECU的软件版本的一致性。

更具体地，提供给本实施方式的车载系统1的多个ECU中的每一个都保存记录有每个ECU的软件版本的列表。本实施方式的车载系统1的主ECU 10在车载系统1启动时获取每个ECU的软件版本，并且还获取用于标识由每个ECU保存的列表的标识信息(以下简称为“列表版本”)。主ECU 10基于列表版本来识别最新列表，并且将其自身的列表更新为最新列表。

主ECU 10确定在最新列表中记录的每个ECU的软件版本的组合与在每个ECU中实际操作的软件版本的组合是否一致。

下面每个ECU的软件版本由“SW Ver XXX-YYY”表示。“XXX”代表影响其他ECU的软件的软件版本。“YYY”代表不影响其他ECU的软件的软件版本。本实施方式的列表仅记录有“XXX”软件版本。

本实施方式的主ECU 10是还保存过去列表的ECU。但是，主ECU 10可保存的列表数目受到限制。

在最新列表中记录的软件版本的组合与由每个ECU实际操作的软件版本的组合不匹配的情况下，则需要针对其软件版本不匹配的ECU更新软件。

但是，为了对安装在车辆上的ECU的软件进行更新，需要通过例如表示车载系统1与外部服务器之间的通信处理的空中下载(OTA)处理来获取相关的软件。

有时，通过OTA进行的软件更新处理需要一些时间来执行。因此，本实施方式的车载系统1的主ECU 10执行控制处理以选择其中每个ECU的软件版本存在一致性的列表，以使用在所选择的列表中记录的软件版本来操作每个ECU。采取这样的方法意指即使在存在需要软件更新的ECU的情况下，也可以实现车载系统的启动而无需通过OTA执行软件更新处理。

以下是更详细的说明。

如图1所示，主ECU 10具有包括列表存储部12、处理部14和通信部16的功能配置。如图1所示，从ECU 20具有包括列表存储部22、处理部24和通信部26的功能配置。从ECU 30具有包括列表存储部32、处理部34和通信部36的功能配置。

主ECU

在主ECU 10的列表存储部12中存储了记录有主ECU 10、从ECU 20和从ECU 30各自的软件版本的列表。

图3是说明在主ECU 10的列表存储部12中存储的列表的说明图。如图3所示，由主ECU 10保存的列表的列表版本与主ECU 10的软件版本相关联地存储在主ECU 10的列表存储部12中存储的列表中。主ECU 10的软件版本和从ECU 20的软件版本与彼此关联地也存储在主ECU 10的列表存储部12中存储的列表中。

例如，如图3所示，列表Lm1的列表版本“001”与主ECU 10的软件版本“001”相关联地存储在列表Lm1中。从ECU 20的软件版本“001”与从ECU 30的软件版本“001”也相关联地存储在列表Lm1中。

注意，较旧的列表也存储在主ECU 10的列表存储部12中。因此，如图3所示，存在比列表Lm3的列表版本“003”旧的列表版本，其中，具有列表版本“001”的列表Lm1和具有列表版本“002”的列表Lm2也存储在主ECU 10的列表存储部12中。在稍后描述的处理中会采用这些过去列表。

主ECU 10的处理部14执行各种处理。稍后描述关于处理部14的处理的细节。主ECU10的通信部16与从ECU 20和从ECU 30收发信息。

从ECU

在从ECU 20的列表存储部22中存储了记录有主ECU 10、从ECU 20和从ECU 30各自的软件版本的列表。

图4是说明在从ECU 20的列表存储部22中存储的列表的说明图。如图4所示，在从ECU 20的列表存储部22中存储的列表是其中由从ECU20保存的列表的列表版本“002”与主ECU 10的软件版本“001”相关联地存储的列表。在从ECU 20的列表存储部22中存储的列表也是其中从ECU 20的软件版本“002”与从ECU 30的软件版本“001”相关联地存储的列表。

注意，与主ECU 10的列表存储部12相比，在从ECU 20的列表存储部22中未存储列表的每个较旧版本。

从ECU 20的处理部24执行各种处理。稍后描述关于处理部24的处理的细节。从ECU20的通信部26与主ECU 10和从ECU 30收发信息。

在从ECU 30的列表存储部32中存储了与从ECU 20的列表存储部22中的列表类似的列表。从ECU 30的处理部34和从ECU 30的通信部36包括与从ECU 20的相应部的功能类似的功能，并且将省略其详细说明。列表存储部12、列表存储部22和列表存储部32分别是本文公开的技术的存储部的示例。

车载系统1的主ECU 10可以例如由如图5所示的计算机50来实现。计算机50包括CPU 51、用作临时存储区域的存储器52和非暂态存储部53。计算机50还包括连接至输入-输出设备的输入-输出接口(I/F)54以及用于控制向记录介质59写数据和从记录介质59读取数据的读/写(R/W)部55。计算机50还包括用于连接至诸如因特网的网络的网络I/F 56。CPU51、存储器52、存储部53、输入-输出I/F 54、R/W部55和网络I/F 56通过总线57相互连接。

存储部53可以由硬盘驱动器(HDD)、固态驱动器(SSD)、闪速存储器等来实现。使计算机50用作车载系统1的主ECU 10的信息处理程序60存储在用作存储介质的存储部53中。信息处理程序60包括处理进程61和通信进程62。用于配置列表存储部12的信息存储在列表存储区域63中。

CPU 51从存储部53读取信息处理程序60，将信息处理程序60扩展到存储器52中，并顺序执行信息处理程序60的进程。CPU 51通过执行处理进程61而操作为图1中示出的处理部14。CPU 51通过执行通信进程62而操作为图1中示出的通信部16。CPU 51从列表存储区域63读取信息，并将列表存储部12扩展到存储器52中。由此，执行信息处理程序60的计算机50用作车载系统1的主ECU 10。CPU 51是执行信息处理程序60软件的硬件。

由信息处理程序60实现的功能可以利用例如半导体集成电路来实现，更具体地，可以利用专用集成电路(ASIC)等来实现。

车载系统1中的从ECU 20和从ECU 30可以例如由如图6所示的计算机80来实现。计算机80包括CPU 81、用作临时存储区域的存储器82和非暂态存储部83。计算机80还包括连接至输入-输出设备的输入-输出I/F 84以及用于控制向记录介质89写数据和从记录介质89读取数据的读/写(R/W)部85。计算机80还包括用于连接至诸如因特网的网络的网络I/F86。CPU 81、存储器82、存储部83、输入-输出I/F 84、R/W部85和网络I/F 86通过总线87相互连接。

存储部83可以由HDD、SSD、闪速存储器等来实现。使计算机80用作车载系统1的从ECU 20和从ECU 30的处理程序90存储在用作存储介质的存储部83中。处理程序90包括处理进程91和通信进程92。用于配置从ECU 20的列表存储部22或从ECU 30的列表存储部32的信息存储在列表存储区域93中。

CPU 81从存储部83读取处理程序90，将处理程序90扩展到存储器82中，并顺序执行处理程序90的进程。CPU 81通过执行处理进程91而操作为图1中示出的处理部24或处理部34。CPU 81通过执行通信进程92而操作为图1中示出的通信部26或通信部36。CPU 81从列表存储区域93读取信息，并将列表存储部22或列表存储部32扩展到存储器82中。由此，执行处理程序90的计算机80用作车载系统1的从ECU 20和从ECU30。CPU 81是执行处理程序90软件的硬件。

由处理程序90实现的功能可以利用例如半导体集成电路来实现，更具体地，可以利用专用集成电路(ASIC)等来实现。

下面对关于根据本实施方式的车载系统1的操作进行说明。首先，为了启动车载系统1，车载系统1的主ECU 10执行如图7所示的信息处理例程。

在步骤S100处，主ECU 10的处理部14获取在多个ECU(即，从ECU 20和从ECU 30)中的每一个中实际操作的软件的软件版本。更具体地，主ECU 10的处理部14通过通信部16接收从从ECU 20和从ECU 30发送的软件版本。从从ECU 20和从ECU 30各自的列表存储部中的列表读取从ECU 20和从ECU 30的软件版本，并将其发送至主ECU 10。在步骤S100处，主ECU10的处理部14还读取存储在主ECU 10的预定存储部(附图中未示出)中的由主ECU 10实际操作的软件的软件版本。

在步骤S100处，主ECU 10的处理部14还获取在多个ECU(即，从ECU 20和从ECU 30)各自的列表存储部中存储的列表的列表版本。更具体地，主ECU 10的处理部14通过通信部16接收在从ECU 20和从ECU30中分别保存的列表的列表版本。

在步骤S102处，主ECU 10的处理部14将在主ECU 10的列表存储部12中存储的最新列表的列表版本与在步骤S100处获得的每个列表版本进行比较。然后，主ECU 10的处理部14基于列表版本的比较结果从这些列表中识别最新列表。更具体地，主ECU 10的处理部14从由每个ECU保存的列表之中识别最新列表。

在步骤S104处，主ECU 10的处理部14基于在步骤S102处获得的比较结果来确定在主ECU 10的列表存储部12中存储的列表是否为最新列表。当在主ECU 10的列表存储部12中存储的列表是最新列表时，处理转至步骤S112。当在主ECU 10的列表存储部12中存储的列表不是最新列表时，处理转至步骤S106。

在步骤S106处，基于在步骤S102处获得的比较结果，主ECU 10的处理部14使用通信部16向保存最新列表的ECU发送请求列表的请求信号。

在步骤S108处，主ECU 10的处理部14获取从保存最新列表的ECU发送的最新列表。

在步骤S110处，主ECU 10的处理部14将在列表存储部12中存储的列表更新为在步骤S108处获取的最新列表。因此，在主ECU 10的列表存储部12中存储的列表是最新列表。

在步骤S112处，主ECU 10的处理部14验证在列表存储部12的最新列表中记录的每个ECU各自的软件版本与在步骤S100处获取的相应软件版本之间的一致性。更具体地，主ECU 10的处理部14将在最新列表中记录的每个ECU的软件版本的组合与在步骤S100处获得的每个ECU的软件版本的组合进行比较。然后，主ECU 10的处理部14确定在最新列表中记录的每个ECU的软件版本与每个ECU中实际操作的软件的软件版本是否一致。

在步骤S114处，当在最新列表中记录的软件版本的组合与在步骤S100处获得的软件版本的组合一致时，主ECU 10的处理部14结束处理。然而，当在最新列表中记录的软件版本的组合与在步骤S100处获得的软件版本的组合不一致时，主ECU 10的处理部14将处理转至步骤S116。

在步骤S116处，主ECU 10的处理部14执行操作一致性处理以使在主ECU 10、从ECU20或从ECU 30中操作的软件一致。执行步骤S116的处理意指最新列表的软件版本与在每个ECU中实际操作的软件的软件版本不一致。因此，由于处于在每个ECU中实际操作的软件不是最新的状态，即由于处于不一致状态，因此在步骤S116执行处理以实现使在每个ECU中实际操作的软件一致。

在步骤S116处，如图8所示的那样实现操作一致性处理例程。

在图8所示的步骤S200处，主ECU 10的处理部14向用户呈现与是否更新ECU的软件有关的询问信息。主ECU 10的处理部14获取由用户输入的指示是否更新ECU的软件的指令信息。指令信息可以是指示是否延缓软件更新的指令信息。

在步骤S202处，主ECU 10的处理部14基于在步骤S200处获取的指令信息来确定是否更新在ECU上操作的软件。当在步骤S200处获取的指令信息指示要更新软件时，处理转至步骤S204。当在步骤S200处获取的指令信息指示不更新软件时，处理转至步骤S206。

在步骤S204处，主ECU 10的处理部14使用通信部16将指示更新软件的指令信号发送至有要更新的软件的相关ECU。因此，接收指令信号的ECU通过OTA执行软件更新处理。在ECU的软件已被更新的情况下，更新在这些ECU的列表存储部中存储的列表。

在步骤S204处，当主ECU 10的软件版本指示该软件版本比在最新列表上记录的软件版本旧时，主ECU 10的处理部14更新用于主ECU 10自身的软件。

在步骤S206处，主ECU 10的处理部14选择记录有能够操作用于每个ECU的软件版本的列表。

例如，如图9所示，以列表Lm是在主ECU 10的列表存储部12中存储的最新列表的情况为例。在最新列表Lm中记录的每个ECU各自的软件版本如下：主ECU 10的软件版本为“001”，从ECU 20的软件版本为“002”，以及从ECU 30的软件版本为“002”。在由从ECU 20保存的列表Ls 20中记录的每个ECU的软件版本与列表Lm上的每个ECU的软件版本相同。

但是，由从ECU 30保存的列表Ls 30具有如下内容：每个ECU的软件版本为“001”。因此，从ECU 30需要通过OTA执行软件更新处理，但是，要考虑其中已通过来自用户的指令信息延缓软件更新处理的情况。

在这样的情况下，主ECU 10从在列表存储部12中存储的过去列表中选择例如列表Lc。列表Lc记录有“001”作为可在从ECU 30上操作的软件版本。此外，在列表中，列表Lc是其中“001”被记录为可在从ECU30上操作的软件版本的最新列表。

主ECU 10将指示在对应的软件版本下进行操作的指令信号输出至相关的ECU，以实现在所选择的列表中记录的软件版本的组合。

更具体地，在步骤S208处，主ECU 10的处理部14将包括在步骤S206处选择的列表中记录的相应软件版本的指令信号发送至相关的ECU中的每一个。因此，接收包括软件版本的指令信号的ECU不执行软件更新处理，而是在较旧版本的软件下操作。

例如，考虑主ECU 10向从ECU 20输出指令信号以将在从ECU 20上操作的软件的软件版本从“002”变成“001”的情况。然后，使用以软件版本“002”操作的主ECU 10和以软件版本“001”操作的从ECU 20执行回退操作。

接下来，对关于本实施方式的操作的示例进行说明。

操作示例1

在操作示例1中，将给出关于主ECU 10已被替换的情况的说明。图10是说明操作示例1的说明图。

如图10所示，主ECU 10的软件版本在初始状态时为“001-001”。注意，在软件版本“XXX-YYY”中，仅“XXX”代表要进行一致性的软件版本，因此下面仅用软件版本“XXX”进行说明。

如图10所示，从ECU 20的软件版本在初始状态时为“001”。类似地，从ECU 30的软件版本在初始状态时为“001”。

如L1-1所示，每个ECU初始状态的软件版本存储在每个ECU的列表存储部中。请注意，L1-1中的每一行指示一个列表。例如，ECU类别“主ECU”的列表存储部12存储有作为列表版本的“001”以及作为主ECU 10的软件版本的“001”。此外，ECU分类“主ECU”的列表存储部12存储有作为从ECU 20的软件版本的“001”和作为从ECU 30的软件版本的“001”。

如图10所示，当通过版本更新V1更新了从ECU 20的软件并且软件版本已从“001”变为“002”时，则在每个ECU上保存的列表的状态变成L1-2的状态。如由图10的列表状态L1-2所指示的，列表版本从“001”变为“002”，并且从ECU 20的软件版本从“001”变为“002”。

如图10所示，在通过替换E1更换了主ECU 10的情况下，则在每个ECU中保存的列表的状态变成L1-3的状态。在这样的情况下，由主ECU10保存的列表是初始化的列表。更具体地，在主ECU 10中保存的列表现在是列表版本“001”，其中，主ECU 10的软件版本是“001”，从ECU 20的软件版本是“001”，以及从ECU 30的软件版本是“001”。因此，如图10的L1-3所示，由主ECU 10保存的列表中记录的软件版本不再与从ECU20的软件版本和从ECU 30的软件版本一致。即使实际操作从ECU 20的软件版本是“002”，主ECU 10仍认为从ECU 20的软件版本是“001”，因而不能操作车载系统1。

因此，为了启动车载系统1，从ECU 20和从ECU 30分别将在它们自己相应的ECU中实际操作的软件的操作软件版本以及他们自己各自保存的列表的列表版本发送至主ECU10。更具体地，在图7的步骤S100处，将实际操作的软件的软件版本和保存的列表的列表版本发送至主ECU10。

更具体地，将诸如图11所示的信息的信息发送至主ECU 10。如图11所示，从ECU 20将由其自身保存的作为软件版本的“002”和作为列表版本的“002”发送至主ECU 10。此外，如图11所示，从ECU 30将由其自身保存的作为软件版本的“001”和作为列表版本的“002”发送至主ECU 10。

然后，在图7的步骤S102处，主ECU 10识别出由其自身保存的列表的列表版本与从ECU 20和从ECU 30保存的列表的列表版本不同。此外，在步骤S104处，主ECU 10识别出由其自身保存的列表比由从ECU 20和从ECU 30保存的列表旧。

然后，在图7的步骤S106处，主ECU 10将请求发送列表的请求信号发送至保存最新列表的ECU(例如，从ECU 20或从ECU 30)。更具体地，主ECU 10指定最新列表的列表版本，并将请求信号发送至从ECU 20或从ECU 30。

然后，在图7的步骤S108处，主ECU 10获取最新列表。在图7的步骤S110处，主ECU10还将在列表存储部12中存储的列表更新为最新列表。

然后，在图7的步骤S112处，主ECU 10验证在列表存储部12中存储的最新列表中记录的软件版本与针对每个ECU已获取的软件版本一致。

在操作示例1中，主ECU 10的列表已被更新为最新列表，因此在图7的步骤S112处的确定结果为实现了一致性，并且处理结束。

操作示例2

在操作示例2中，将给出关于在主ECU 10的软件被更新并且从ECU20的软件被更新之后替换了主ECU 10的情况的说明。图12是说明操作示例2的说明图。

操作示例2是针对主ECU 10被替换并且现在是新的主ECU 10，并且实际操作新的主ECU 10的软件现在是旧软件的情况的操作示例。

更具体地，新的主ECU 10在新的主ECU 10的操作软件版本比已被替换的旧的主ECU 10的操作软件版本旧的情况下通过使用较旧的实际操作软件来执行回退操作。

注意，新的主ECU 10在用户选择了延缓软件更新的情况下执行回退操作。此外，例如，新的主ECU 10可以被配置成当针对新的主ECU 10的软件更新不能在预定时间段内执行时也使用实际操作的软件来执行回退操作。

如图12所示，主ECU 10初始状态的软件版本是“001”。从ECU 20初始状态的软件版本也是“001”。从ECU 30初始状态的软件版本也是“001”。每个ECU初始状态的软件版本作为L2-1被存储在各个ECU的列表存储部中。

如图12所示，从ECU 20的软件通过版本更新V1被更新，并且软件版本从“001”变为“002”。主ECU 10的软件通过版本更新V2也被更新，并且软件版本从“001”变为“002”。由此实现列表状态L2-2。

然后，如图12所示，在通过替换E1更换了主ECU 10的情况下，由每个ECU保存的列表的状态变成L2-3的状态。

在这样的情况下，如图12中的L2-3所示，由主ECU 10保存的列表的列表版本不再与由从ECU 20和从ECU 30保存的列表的列表版本一致。在主ECU 10上实际操作的软件版本也不同于在由从ECU 20和从ECU 30保存的列表中记录的主ECU 10的软件版本。相应地，在由主ECU 10保存的列表中记录的软件版本与从ECU 20的软件版本和从ECU 30的软件版本不一致。

在这样的情况下，在图7的步骤S104处，发现由主ECU 10保存的列表的列表版本比由从ECU 20和从ECU 30保存的列表的列表版本旧。

因此，主ECU 10通过执行步骤S106至步骤S110的处理将在列表存储部12中记录的列表更新为最新列表。

然后，在图7的步骤S112处，主ECU 10将在最新列表中记录的软件版本与每个ECU中实际操作的软件的软件版本进行比较。结果是确定在主ECU 10中实际操作的软件版本与其中记录有最新列表的主ECU 10的列表版本不一致。

因此，主ECU 10执行图7的步骤S116的处理。现在将给出关于图7的步骤S116的处理的更详细的说明。

在图8的步骤S200处，示出了图7的步骤S116的处理的实现方式，主ECU 10告诉用户需要通过OTA进行更新。在图8的步骤S200处，主ECU 10从用户获取用于指示是否更新软件的指令信息。

然后，当来自用户的指令信息是使用更新的软件来启动车载系统1时，在图8的步骤S204处，将用于通过OTA更新软件的指令发送至相关的ECU。然后，相关的ECU通过OTA执行软件更新。

然而，在图8的步骤S202处，在来自用户的指令信息是延缓软件更新的情况下，通过步骤S206和步骤S208执行车载系统1的回退操作。

例如，主ECU 10识别与最旧的列表版本对应的列表，并请求每个ECU使用在该列表中记录的软件版本的软件进行操作。

在这样情况下，在图8的步骤S206处，主ECU 10基于在列表存储部12中存储的过去列表版本来选择最旧的列表。然后在图8的步骤S208处，主ECU 10将在所选择的列表中记录的软件版本发送至相关的ECU。然后，接收到这些软件版本的ECU使用与所接收的软件版本对应的软件执行回退操作。

但是，当在主ECU 10的列表存储部12中存储的列表中不存在符合每个ECU的操作的列表的情况下，则相关的ECU请求通过OTA进行软件更新。此外，在ECU不能使用与由主ECU10请求的软件版本对应的软件进行操作的情况下，也类似地执行通过OTA进行的软件更新处理。

在操作示例2中，当用户选择了延缓软件更新时，主ECU 10从在列表存储部12中存储的过去列表中选择列表。更具体地，主ECU 10从在列表存储部分12中存储的列表中选择符合每个ECU包括其自身的软件版本的列表。

在图12的示例中，主ECU 10选择与列表版本“001”对应的列表。然后，主ECU 10将所选择的针对每个ECU具有软件版本“001”的列表发送至从ECU 20和从ECU 30。然后，从ECU20和从ECU 30利用与所接收的软件版本“001”对应的软件执行回退处理。因此，本来具有软件版本“002”的从ECU 20使用在与列表版本“001”对应的列表中记录的软件版本“001”来执行回退操作。

操作示例3

在操作示例3中，将给出在主ECU 10的软件被更新之后替换了主ECU 10的情况的说明。图13是说明操作示例3的说明图。

如图13所示，主ECU 10初始状态的软件版本是“001”。从ECU 20初始状态的软件版本也是“001”。从ECU 30初始状态的软件版本也是“001”。每个ECU初始状态的软件版本如L3-1所示存储在各个ECU的列表存储部中。

如图13所示，通过版本更新V2进行更新，主ECU 10的软件的软件版本从“001”变为“002”。由此，在每个ECU中保存的列表的状态变成L3-2的状态。

接下来，如图13所示，在通过替换E1更换了主ECU 10的情况下，主ECU 10的软件版本从“002”变为“001”。在ECU中保存的列表的状态变成L3-3的状态。

在这样的情况下，如图13中的L3-3所示，由主ECU 10保存的列表的列表版本不再与由从ECU 20和从ECU 30保存的列表的列表版本一致。因此，通过执行图7的步骤S106至步骤S110来更新列表。然而，即使在由主ECU 10保存的列表已被更新的情况下，主ECU 10的软件版本仍然保持为“001”。因此，在图7所示的步骤S116处，通过OTA对主ECU 10的软件进行更新，或者使用实际可操作的软件来执行回退操作。当主ECU10的软件版本被从“001”更新为“002”时，由每个ECU保存的列表的状态变成L3-4的状态。

操作示例4

在操作示例4中，将给出替换主ECU 10并且在替换时还更新主ECU10的软件的情况的说明。图14是说明操作示例4的说明图。

如图14所示，在初始状态下，主ECU 10的软件版本是“001”，从ECU 20的软件版本是“001”，以及从ECU 30的软件版本是“001”。每个ECU初始状态的软件版本如L4-1所示存储在ECU的列表存储部中。

如图14所示，在通过替换E1更换了主ECU 10的情况下，主ECU 10的软件版本在替换时从“001”变为“002”。因此，由每个ECU保存的列表的状态变成L4-2的状态。

在图14所示的列表状态L4-2中，还替换了在主ECU 10的列表存储部12中存储的列表。从而，在列表状态L4-2中，在由主ECU 10保存的列表中记录的主ECU 10的软件版本“002”与在由每个从ECU保存的列表中记录的主ECU 10的软件版本“001”不一致。

此外，在列表状态L4-2中，在由主ECU 10保存的列表中记录的从ECU 20的软件版本“002”与在由每个从ECU保存的列表中记录的从ECU20的软件版本“001”不一致。

在这样的情况下，在图8的步骤S204处，主ECU 10将指示软件更新的指令信号发送至从ECU 20。接收指示软件更新的指令信号的从ECU20通过OTA执行软件更新以将软件版本从“001”更新为“002”。类似地，主ECU 10还将指示软件更新的指令信号发送至从ECU 30。接收指示软件更新的指令信号的从ECU 30通过OTA执行软件更新以将软件版本从“001”更新为“002”。因此，由ECU保存的列表的状态变成L4-3的状态。

此外，当在图8所示的步骤S200处用户延缓了软件更新时，主ECU10从在列表存储部分12中记录的过去列表中选择具有列表版本“001”的列表，该列表是符合每个ECU的操作的列表。主ECU 10执行回退以将它自己的软件的软件版本从“002”变为“001”并进行操作。这导致如车载系统执行与列表版本“001”对应的操作那样执行的操作。

操作示例5

在操作示例5中，将给出在从ECU 20的软件被更新之后替换了从ECU 30的情况的说明。图15是说明操作示例5的说明图。

如图15所示，每个ECU初始状态的软件版本作为L5-1存储在每个ECU的列表存储部中。

如图15所示，当在版本更新V3中更新了从ECU 20的软件时，从ECU 20的软件版本从“001”变为“002”。因此，由每个ECU保存的列表的状态变成L5-2的状态。

接下来，如图15所示，在通过替换E3更换了从ECU 30的情况下，由从ECU 30保存的列表是初始化的列表，并且由ECU保存的列表的状态如L5-3所示。

在这样的情况下，如图15中的L5-3所示，在由主ECU 10保存的列表中记录的从ECU30的软件版本“002”与从ECU 30的软件版本“001”不一致。

因此，在图7的步骤S112处确定每个ECU的软件版本不一致，并执行步骤S116的操作一致性处理。

然后，在图8的步骤S200处，当由用户输入的指令信息是用于更新软件的指令时，主ECU 10将指示软件更新的指令信号发送至从ECU 30。然后，接收指示软件更新的指令信号的从ECU 30通过OTA执行软件更新以将软件版本从“001”更新为“002”。

然而，当在图8的步骤S200处用户延缓了软件更新时，主ECU 10从在列表存储部12中记录的过去列表中选择具有列表版本“001”的列表，该列表是符合每个ECU操作的列表。然后，主ECU 10将指示软件回退操作的指令信号发送至从ECU 20。从ECU 20执行与所接收的软件版本“001”对应的软件回退操作。因此，车载系统执行与列表版本“001”对应的操作。

操作示例6

在操作示例6中，将给出在更新了从ECU 20的软件中不影响其他ECU的软件之后替换了主ECU 10的情况的说明。图16是说明操作示例6的说明图。

如图16所示，每个ECU的列表存储部中存储的每个列表初始状态的状态是L6-1的状态。

如图16所示，在对从ECU 20的软件执行了更新V4的情况下，从ECU 20的软件中不影响其他ECU的软件的软件版本从“001”变为“002”。但是，在列表中存储的软件版本是影响其他ECU的软件的软件版本。因此，尽管由于软件更新V4使得由每个ECU保存的列表的状态变成L6-2的状态，但是该状态与状态L6-1相同。

接下来，如图16所示，在通过替换E1替代了主ECU 10的情况下，由每个ECU保存的列表的状态变成L6-3的状态。在这种情况下，主ECU10的软件版本仍为“001”，因此列表状态L6-3仍与L6-2和L6-1的状态相同。在这种情况下，每个ECU的软件版本存在一致性，因此列表版本之间不会出现缺乏匹配。

操作示例7

在操作示例7中，将给出替换了从ECU 20并且通过替换更新了由从ECU 20保存的列表的情况的说明。图17是说明操作示例7的说明图。

如图17所示，在每个ECU的列表存储部中存储的每个列表的初始状态的状态是L7-1的状态。

如图17所示，在执行了从ECU 20的替换E7的情况下，还通过替换E7更新了由从ECU20保存的列表。在这样的情况下，由从ECU 20保存的列表的列表版本从“001”更新为“002”。从ECU 20的软件的软件版本也从“001”更新为“002”。

在这样的情况下，执行图7的步骤S106至步骤S110的处理，将主ECU 10的列表存储部12的列表更新为具有列表版本“002”的列表，该列表是由从ECU 20保存的最新列表。由此，在每个ECU的列表存储部中存储的每个列表的状态变为L7-3的状态。更具体地，将由主ECU 10保存的列表的列表版本变为“002”，并且将在该列表中记录的从ECU 20的软件版本变为“002”，使得每个列表的状态是在L7-3中列出的状态。

在这样的情况下，主ECU 10和从ECU 20的列表版本“002”与从ECU 30的列表版本“001”不匹配。但是，在最新列表版本“002”的列表中，从ECU 30的软件版本是“001”，并且与较旧列表版本“001”的列表中的从ECU 30的软件版本“001”相同。因此，每个ECU中实际的软件版本的组合与在最新列表中记录的软件版本的组合相匹配，因此主ECU 10确定不需要更新软件。相应地，不更新由从ECU 30保存的列表，并且处理结束。

请注意，有时会替换车载系统1中所有的ECU，并且通过旧软件版本的组合来实现一致性。在这样的情况下，在通过常规OTA验证软件更新时也会执行列表同步。

如上所述，在启动车载系统1时，根据本实施方式的车载系统的主ECU获取多个从ECU中的每一个的软件版本，并且获取在多个ECU中的每一个的列表存储部中存储的列表的列表版本。然后，主ECU将在主ECU的列表存储部中存储的列表版本与从每个从ECU的列表存储部获取的列表版本进行比较以识别其中的最新列表。然后，主ECU将在最新列表中记录的每个ECU中的软件版本的组合与多个从ECU中的每一个的软件版本和主ECU的软件版本的组合进行比较。然后，主ECU确定在最新列表中记录的软件版本的组合与主ECU的软件和多个从ECU的软件的组合是否一致。因此，这使得即使在管理多个ECU的软件的ECU已被替换的情况下，也能够对在多个ECU上操作的软件的组合进行验证。

本实施方式的车载系统由于将列表保存在车辆侧系统上，因此，在启动车载系统时即使不询问外部服务器等也能够对每个ECU实现软件的一致性。因此，即使不与外部服务器进行通信，也可以对车辆的操作进行验证。

在提供给车载系统的所有ECU上保存列表使得即使在如下环境中也能使用由另一从ECU保存的列表来验证软件一致性：主ECU已被替换并且在替换主ECU时未更新列表。

此外，仅通过更新由主ECU保存的列表来保持一致性，从而能够省略询问外部服务器来更新列表。

此外，针对管理软件版本，根据对其他ECU是否存在影响来管理软件版本使得即使在ECU内的封闭环境中已执行了软件的版本更新，也能容易地执行一致性验证。

尽管上面已经说明了将每个程序预存储(预安装)在存储部上的实施方式，但是不限于此。根据本文公开的技术的程序可以以记录在诸如CD-ROM、DVD-ROM、USB存储器等的记录介质上的格式来提供。

本说明书中提到的所有公开、专利申请和技术标准均以引用并入本说明书中，其程度与每个单独的公开、专利申请或技术标准被具体且单独地指示为通过引用并入相同。

下面对关于实施方式的修改示例进行说明。

尽管在以上实施方式中已经给出了关于采用软件版本作为软件标识信息的示例的情况的示例的说明，但是不限于此。例如，可以将关于软件生成时间的信息用作软件标识信息。

此外，尽管在以上实施方式中已经给出了关于采用列表版本作为列表标识信息的示例的情况的示例的说明，但是不限于此。例如，可以将关于列表生成时间的信息用作列表标识信息。

本文公开的技术的一个方面展现了如下有益效果：即使在保存用于管理多个ECU的软件的列表的ECU被替换的情况下，也能够验证用于操作多个ECU的软件的组合。

Claims (10)

1.一种包括经由网络相互耦接的多个电子控制单元(ECU)的车载系统，所述多个电子控制单元(ECU)包括第一电子控制单元和第二电子控制单元，其中：

记录所述多个电子控制单元的软件的标识信息的组合的列表存储在所述第一电子控制单元的存储部中和所述第二电子控制单元的存储部中；

响应于启动所述车载系统，所述第一电子控制单元将在所述第一电子控制单元的存储部中存储的列表的标识信息与在所述第二电子控制单元的存储部中存储的列表的标识信息进行比较，并且识别列表中较新的列表，以及

基于在所识别的列表中记录的软件标识信息的组合来确定所述多个电子控制单元的软件的组合是否一致。

2.根据权利要求1所述的车载系统，其中：

当所述第一电子控制单元已被替换并且是新的第一电子控制单元时，在发现所述新的第一电子控制单元的软件的软件标识信息比被替换的第一电子控制单元的软件的软件标识信息旧并且所述新的第一电子控制单元的软件的更新不能在预定时间段内执行的情况下，所述新的第一电子控制单元使用实际操作的软件执行回退操作。

3.根据权利要求1或2所述的车载系统，其中，在根据在所述第一电子控制单元的存储部中存储的列表标识信息与从所述第二电子控制单元的存储部获取的列表标识信息的比较结果发现在所述第一电子控制单元的存储部中存储的列表标识信息比从所述第二电子控制单元的存储部获取的列表标识信息旧的情况下，所述第一电子控制单元利用在多个第二电子控制单元各自的存储部中存储的列表中的较新的列表来更新所述第一电子控制单元的存储部中的列表。

4.根据权利要求1或2所述的车载系统，其中：

在所述第一电子控制单元的软件和多个第二电子控制单元的软件的组合不一致的情况下，所述第一电子控制单元向具有要进行更新的软件的电子控制单元输出指示对软件进行更新的指令信号，以实现在较新的列表上记录的软件标识信息的组合。

5.根据权利要求1或2所述的车载系统，其中，在所述第二电子控制单元的软件已被更新的情况下，更新在所述第二电子控制单元的存储部中存储的列表。

6.根据权利要求1或2所述的车载系统，其中，所述第一电子控制单元将所述第一电子控制单元的软件的软件标识信息与在较新的列表中记录的所述第一电子控制单元的软件的软件标识信息进行比较，并且在发现所述第一电子控制单元的软件的软件标识信息比在所述较新的列表中记录的所述第一电子控制单元的软件标识信息旧的情况下，更新所述第一电子控制单元的软件。

7.根据权利要求1或2所述的车载系统，其中：

软件标识信息是表示软件的版本的信息，或者是表示软件生成时间的信息；以及

列表标识信息是表示列表的版本的信息，或者是表示列表生成时间的信息。

8.一种由经由网络相互耦接的多个电子控制单元(ECU)配置的车载系统中的电子控制单元，其中记录所述多个电子控制单元的软件的标识信息的组合的列表存储在所述多个电子控制单元各自的存储部中，其中，

响应于启动所述车载系统，将在所述多个电子控制单元各自的存储部中存储的列表的标识信息进行比较，并且识别列表中较新的列表，以及

基于在所识别的列表中记录的软件标识信息的组合来确定所述多个电子控制单元的软件的组合是否一致。

9.一种用于在由经由网络相互耦接的多个电子控制单元(ECU)配置的车载系统中执行的信息处理方法，所述多个电子控制单元(ECU)包括第一电子控制单元和第二电子控制单元，其中记录所述多个电子控制单元的软件的标识信息的组合的列表存储在所述第一电子控制单元的存储部中和所述第二电子控制单元的存储部中，所述信息处理方法包括：

通过处理器，

响应于启动所述车载系统，将在所述第一电子控制单元的存储部中存储的列表的标识信息与在所述第二电子控制单元的存储部中存储的列表的标识信息进行比较，并且识别列表中较新的列表，以及

基于在所识别的列表中记录的软件标识信息的组合来确定所述多个电子控制单元的软件的组合是否一致。

10.一种存储有信息处理程序的非暂态记录介质，所述信息处理程序使计算机执行包括以下的处理：

响应于启动由经由网络相互耦接的多个电子控制单元(ECU)配置的车载系统，将记录多个电子控制单元的软件的标识信息的组合并且存储在第一电子控制单元的存储部中的列表的标识信息与在第二电子控制单元的存储部中存储的列表标识信息进行比较，并且识别列表中较新的列表，以及

基于在所识别的列表中记录的软件标识信息的组合来确定所述多个电子控制单元的软件的组合是否一致。

Images