CN111699471B - 用于在机动车的控制器中执行软件更新的方法以及相应设计的机动车 - Google Patents

Abstract

本发明涉及一种用于在机动车(10)的控制器(11)中执行软件更新的方法。本发明规定，在机动车(10)的行驶运行期间，由机动车(10)的第一分析装置(12)预测在运行控制器(11)以生成控制数据(15、16)的预先确定的未来时段(22)中的休止时段(21)，在该休止时段中，控制器(11)的至少一个软件模块(18)在行驶运行期间至少在预先确定的最小时长(24)中基于当时存在的车辆状态而中断控制数据(15、16)的生成，在休止时段(21)开始时启动软件更新。

Description

用于在机动车的控制器中执行软件更新的方法以及相应设计 的机动车

技术领域

本发明涉及一种用于在机动车的控制器中执行软件更新的方法。借助于该方法，软件更新特别可以在机动车的行驶运行期间被执行。本发明还包括一种能够执行根据本发明的方法的机动车。

背景技术

在机动车中可能期望的是，以软件更新来更新机动车的控制器的软件或者新安装新的、附加的软件，以便由此扩展和/或改进和/或校正控制器的功能范围。关于本发明特别规定，机动车通过无线电连接与后端设备联接。机动车在后端设备中登记以实现自身认证和授权。此后，软件更新可以通过无线电连接来执行(所谓的在线软件更新)。后端设备可以相应是服务器(互联网服务器/服务器设备)、计算机中心(computer center)、计算机集群、云服务器或者散布的非集中式计算中心。

在本发明的上下文中，软件更新可以包括例如以下情形。具有预定的额定功率(例如105PS)的机动车的用户可以将额定功率设置至更高的额定值(例如150PS)。为此，可以在发动机控制器中执行软件更新。在编程错误时，也可以在机动车的控制器中通过软件更新来替换有错误的软件。

为此，由文献DE 10 2015 014 049 A1已知的是，一直等到机动车处于停车阶段中(也就是说不处于行驶运行中)，以便然后从互联网接收程序数据或软件数据并且安装在机动车的控制器中。通过等待停车阶段确保了在软件更新(Softwareupdate)期间保证不需要控制器。因为如果在软件更新期间需要控制器，则控制器由于正在替换其软件所以不能提供对它所期待的控制数据。但等待停车阶段则需要只在零散的时间点才能进行软件更新。

由文献DE 10 2011 088 320 A1也已知，应该首先等待更新状态再进行软件更新，所述更新状态是：在机动车中能够通过电池提供足够的电能并且机动车停车。因而在此也不可能在机动车的行驶运行期间执行软件更新。

由文献DE 10 2015 007 493 A1已知，可以借助于机器学习的方法来模拟或习得机动车的运行特性，以便能够得出关于机动车的运行特性的结论。

在Jason Cong(Jason Cong,“Machine Learning on FPGAs”,http://cadlab.cs.ucla.edu/～cong/slides/HALO15_keynote.pdf)的技术文章中描述了如何能够借助于FPGA(现场可编程门阵列Field programmable gate array)来优化机器学习。此外，还提到了在处理器层面和服务器层面/后端层面上的其它优化可能性。

发明内容

本发明的目的在于，在机动车的控制器中执行软件更新。

该目的通过一种用于在机动车的控制器中执行软件更新的方法来实现。

通过本发明提供了一种用于在机动车的控制器中执行软件更新的方法。在机动车的行驶运行期间运行控制器，该控制器由此生成控制数据。控制数据由机动车的至少一个软件模块生成。软件模块分别提供一个控制功能或多个控制功能。在此在行驶运行期间，由机动车的分析装置确定在运行控制器以生成控制数据的预先确定的未来时段中的休止时段。由此为了在需要时生成控制数据而运行控制器。但在此不必持续地在整个时段中都实际生成控制数据。因而休止时段的特征在于，控制器的至少一个软件模块在行驶运行期间至少在预先确定的最小时长中基于当时存在的车辆状态而中断控制数据的生成。因而控制器仍旧运行，但在该休止时段中至少一个软件模块因为不为车辆状态所需要的原因预计将不被用于生成控制数据。

通过第一分析装置预测休止时段，也就是说已经提前已知了未来将在何时开始休止时段以及该休止时段至少持续多长时间。然后在休止时段开始时启动软件更新。因为通过预测已知了休止时段至少持续了预先确定的最小时长，控制器的所述至少一个软件模块于是在该最小时长期间不必生成控制数据，所以能够在该休止时段中对该至少一个软件模块进行软件更新。因此能够在行驶运行期间、即特别是在机动车行驶时和/或机动车的发动机处于运行中时执行软件更新。在此期间能够运行控制器以生成控制数据。在控制器运行时的未来时段中，即例如在接下来的十分钟或下一小时中或一般而言在时长为十秒至一小时的时段中，于是预测在该时段中的休止时段。休止时段因此是在行驶运行期间的时隙，在该时隙中在控制器中至少一个软件模块不必生成控制数据。在至少一个软件模块中中断控制数据的生成可以被用于，为该至少一个软件模块执行软件更新，即例如软件升级或软件扩展(新安装)。

通过本发明得到的优点是，在机动车中不需要控制器的待机模式，即例如不需要停车阶段。在控制器的运行中探测至少一个休止时段，控制器的至少一个软件模块在该休止时段中当时不被需要并且因此能够在软件更新中被替换或升级。

所提出的软件更新的另一优点是高能效，这是因为能够在行驶中和/或在机动车运行期间快速地执行软件更新。当在运行期间执行软件更新时，不需要专门为了软件更新而运行机动车。也不必仅为了执行或完成一个软件更新而使机动车较长时间地运行。所有这些都有利于能量效率。

本发明还包括产生附加优点的实施方式。

一个实施方式规定，为了识别休止时段，根据运行数据确定向控制器传输了哪些控制任务(所谓的工作)和/或机动车的哪些其它车辆部件需要控制器的所述至少一个软件模块。因此也就确定了何时需要和/或谁需要控制器的该至少一个软件模块。因此，在不需要或不访问该至少一个软件模块的时段中，得到了休止时段。为此所使用的运行数据例如可以包括来自通信总线、例如CAN总线(CAN-控制器局域网)或Flexray总线或MOST(面向媒体的系统传输)总线和/或以太网的通信数据。

一个实施方式规定，将控制器的多个软件模块分别提供为独立的软件模块，软件更新包括：对软件模块中的至少一个软件模块以与软件模块中的任何其余软件模块无关的方式执行单独的软件更新。于是以软件模块中的一个软件模块的更新时长作为最小时长的基础。因此，不必在软件更新时全部地或完全地替换或改变控制器的全部软件。由于模块式的结构，软件更新也可以模块式地、即对于任一软件模块单独地进行。因此，每个软件模块可以与任何其它软件模块无关地单独被替换或升级。休止时段于是被确定持续最小时长，该最小时长足够升级或替换单个软件模块。然后当然是对在该休止时段中不生成控制数据的软件模块进行替换或执行软件更新。也就是说在控制器中提供了嵌入式软件和/或基于微部件和/或微功能的软件(即软件模块)，所述软件能够彼此独立地通过软件更新被替换。这种微部件的软件更新所需的时间比庞大的(monolytische)整体软件的软件更新所需的时间短。因为仅需找到对于一个微部件、即对于单一软件模块的休止时段，所以得到软件更新的更多可能性，这是因为休止时段可以更短。微部件可以共同实现一个设备功能。通过将一个设备功能划分至各单个的独立的软件模块(微部件)和/或通过在控制器中设置多个软件部件，可以设定软件更新的细分程度

该细分程度尤其是可以选择的。特别规定，提供微服务和/或以服务为导向的架构，以提供嵌入式软件和/或具有微部件和/或微功能的软件。

一个实施方式规定，第一分析装置基于机器学习方法(机器学习)和/或预测分析方法(预测分析)来确定休止时段，其方式是：根据机动车的历史运行数据确定机动车的至少一个行驶运行模式并且为识别休止时段而对该至少一个行驶运行模式进行再识别。换言之，借助于机器学习方法来观察由历史运行数据所展示的控制器的状态序列和/或控制数据的时间变化曲线。每个行驶运行模式在此都描述了在机动车中多次被观察到的一种典型的序列或一种典型的变化曲线。然后如果借助于机器学习方法又识别到了某一行驶运行模式的开始，则可以根据该行驶运行模式的事先已知的其余的变化曲线来预测机动车、特别是控制器未来将会如何运行。如果该行驶运行模式在此指示了休止时段或者该行驶运行模式包含休止时段，则这可以借助于该行驶运行模式被预测到。机器学习方法可以例如基于人工神经网络和/或贝叶斯估计器和/或隐马尔可夫模型来实现，仅作列举。该实施方式具有的优点是，可以使用历史运行数据来再识别出即将到来的休止时段。

一个实施方式规定，由与控制器不同的监控装置提供第一分析装置。也就是通过第一分析装置从外部观察控制器。监控装置根据在控制器与至少一个另外的车辆部件之间传输的通信数据来确定所述的休止时段。对通信数据的这种观察也被称为记录(Logging)。监控装置例如可以由另一个控制器或由多个控制器的组合来实现。该实施方式具有的优点是，能够通过监控装置考虑到对控制器起作用的外部影响。预测分析方法的一个例子是逻辑回归分析(logistic regression analysis)。

一个实施方式规定，在控制器中或在控制器内部提供第二分析装置，该第二分析装置预测在控制器中未来会被要求的计算任务，在这些计算任务相应被要求之前提前执行这些计算任务，由此提供了控制器的使休止时段增长的空闲时间。该空闲时间是在控制器中某一预先确定的软件模块不必执行计算任务的时间段。该软件模块这时是空闲的(不工作的)。通过把必须执行计算任务的那些时段在时间上集中或提前，在所有完成计算的计算任务结束时得到了能够被用作休止时段、即用于软件更新的空闲时间。虽然在时间上将执行计算任务的计算时段挪前或提前，但每个计算任务的计算结果仍一直供在被要求的时刻使用。计算任务的这种提前执行可以在控制器的一个或多个不同的层面(硬件层面、操作系统层面、服务器层面)上执行。因此，例如可以在FPGA中在硬件层面上执行计算任务的这种提前，也就是说实现第二分析装置。也可以通过操作系统(OS-Operating System)的软件实现第二分析装置。中间件(例如用于在过程和/或控制器之间的通信的支持软件)也可以提供第二分析装置。该实施方式具有的优点是，能够主动地创设/实现休止时段。第二分析装置的主要优点是加速执行软件更新。第一和第二分析装置一起以及独立的软件模块(微部件)的划分都改善了在软件更新时的性能。这种快速的软件更新也可以导致新的业务模式和/或应用情况。因此，用户例如可以以开头所述的方式通过软件更新改变其机动车的发动机的额定功率。通过软件更新实现的、机动车的功能范围的改变也可以被限制在预先确定的时段内。功能范围例如可以被限制在租用时段内，在该租用时段内用户租用机动车。因此，机动车变成移动容器，其功能范围可以通过软件更新例如根据租用合同数据例如在几分钟内来调整。

一个实施方式规定，第二分析装置基于机器学习方法和/或预测分析方法来确定未来被要求的计算任务。这可以如结合第一分析装置所描述的那样以相同的方式进行。机器学习方法和/或预测分析方法的优点是，可以根据历史计算任务考虑到机动车中的特有的运行过程。因此例如可以考虑到会对出现的计算任务(例如行驶动力学稳定性和/或轨迹计算)有影响的典型的驾驶员行为。第二分析装置例如可以对于FPGA以开头所述的机器学习方法为基础和/或在操作系统层面上来执行，以便提高芯片(集成电路)/SOC(片上系统)的性能。尤其是提出了在FPGA中利用预测分析的机器学习方法的实施方案和/或在操作系统层面上、即在较低的实施层面上的实施方案，以便加速芯片和/或SOC来更快地执行软件更新。

一个实施方式规定，在软件更新之后，利用与控制数据相关的少数派分类

来执行恶意软件识别，该控制数据通过由于软件更新而安装的新软件模块生成。少数派分类检查：新软件模块所生成的控制数据是否满足一个或多个预先确定的数据模式。如果控制数据不属于任何数据模式，那么就是非典型的控制数据，该控制数据被分类为恶意软件的控制数据。相应地发出关于识别到该恶意软件的通知。由此得出的优点是，在软件更新之后确保安装了正确的或经授权的软件模块。

一个实施方式规定，软件更新包括升级至少一个软件模块和/或新安装附加的软件模块以用于新的控制功能。该方法因此一方面可以被用于升级或改进已经安装的软件模块。附加或替代于此地也可以利用该方法通过安装附加的软件模块来提供新的控制功能。因此在本发明的意义上，软件更新是升级和/或新安装。尤其优选的是以下变型方案中的至少一个：在线软件更新(后端设备传输软件)；借助于例如USB介质(USB-通用串行总线)和/或CD(压缩盘)的软件安装；用于修复错误的软件更新；用于在控制器上安装新软件模块(新功能)的软件更新。软件更新可以在线地(无线电连接和/或互联网连接)或者离线地(利用便携式存储介质)实现。

本发明还包括一种机动车，在该机动车中可以执行根据本发明的方法。换言之，可以在机动车中在控制模块中执行软件更新。机动车相应地具有用于生成所述控制数据的控制器。提供了第一分析装置以用于确定控制器在行驶运行期间预计出现的休止时段。控制器总体上被设计用于，执行根据本发明的方法的实施方式。为此，第一分析装置可以例如由所描述的监控装置来提供。根据本发明的机动车特别被设计为汽车，优选地被设计为乘用车或载货汽车。第一分析装置可以基于处理器装置来实现，所述处理器装置可以具有至少一个微控制器和/或至少一个微处理器。第一分析装置可以基于程序代码来实现，程序代码可以存储在处理器装置的数据存储器中。在机动车中可以通过无线电连接(例如移动通信或WLAN-无线局域网)从互联网和/或从后端设备接收通过软件更新要安装的至少一个新软件模块。

本发明还包括所描述的实施方式的特征的组合。

附图说明

下面描述本发明的实施例。为此唯一的附图(图)示出：

附图是根据本发明的机动车的一个实施方式的示意图。

下面说明的实施例是本发明的优选实施方式。在实施例中，实施方式的所描述的部件分别是本发明的单个的、可视作彼此独立的特征，所述特征也相应彼此独立地改进了本发明且进而也可以单独地或以与示出组合不同的其它组合被视作本发明的组成部分。此外，所述实施方式也可以通过本发明的其它已经描述的特征来补充。

具体实施方式

附图示出机动车10，该机动车例如可以是汽车、特别是乘用车或商用车。在机动车10中示出控制器11、也例如可以由控制器实现的第一分析装置12、通信装置13和通信总线14。控制器11可以生成控制数据15、16，这些控制数据例如可以通过通信总线14发送给至少一个另外的控制器和/或发送给至少一个执行器和/或至少一个传感器。通信总线14可以例如是CAN(控制器局域网)总线或Flexray总线。为了生成控制数据15、16，可以在控制器11中设置软件模块17、18，软件模块可以由控制器11的处理器装置、例如至少一个微处理器来执行。在附图中区分了软件模块17的控制数据15与软件模块18的控制数据16。通过每个软件模块可以分别提供控制器11的至少一个控制功能。下面分别将软件模块17、18同义地用于由相应的软件模块17、18所提供的控制功能。

对于软件模块18可以规定更新，在该更新中由数据源19提供新的或经校正的软件模块18'。数据源19可以处于车辆外部并且例如是互联网的后端设备。新的软件模块18'可以由通信装置13通过无线电连接20接收到。通信装置13例如可以基于移动通信模块(例如3G、4G或5G)和/或WLAN(无线局域网)无线模块来接收。新的软件模块18'应取代软件模块18。但是在此并非使控制器11首先进入待机模式，即停止生成控制数据15、16。而是要在机动车10的行驶运行期间执行该新的软件模块18'的软件更新。

这可以借助于第一分析装置12实现。为了阐明第一分析装置12的工作方式，在附图中示出了由控制器11所生成的控制数据15、16关于时间t的时间序列。当前时刻在时间线上被记为T0。基于当前时刻T0，第一分析装置12可以针对未来时段22期间预测，控制器11、特别是各个软件模块17、18未来预计生成哪些控制数据15、16。第一分析装置12为此可以使用预测分析方法和/或机器学习方法23。该第一分析装置例如可以观察机动车的运行数据。例如，可以确定传输给控制器11的控制任务和/或确定需求数据，该需求数据说明哪些另外的车辆部件需要控制器的至少一个控制功能。

然后可以预测休止时段21，该休止时段可以处于时段22内并且持续预先确定的最小时长24或者甚至还持续更长时间。由此确保了待替换的软件模块18在休止时段21期间是不被需要的，并且确保了当软件模块18由于被新的软件模块18'取代其程序代码或软件模块而在休止时段21期间不可用时，机动车10的行驶运行不受干扰。因此可以在休止时段21开始25时在控制模块11中进行软件模块18'的软件更新，该软件模块取代软件模块18。之后又可以由新安装的软件模块18'生成控制数据16。因此不必为了软件更新而中断机动车10的行驶运行。

为了主动地创设休止时段21，可以在控制器11本身中提供第二分析装置26。分析装置26可以预测计算任务并且提前执行该计算任务，从而由此可以创设休止时段21，在该休止时段中至少软件模块18不必执行计算。

在软件模块18'的软件更新之后，可以执行恶意软件识别27，恶意软件识别不仅可以包括在控制器11中的组成部分、而且还包括在其它控制器中、例如第一分析装置12的控制器中的组成部分。接下来可以借助于少数派分类对新的软件模块18'所生成的控制数据检查：该控制数据是否是对于控制器11典型的控制数据。如果不是，则发出关于恶意软件的通知。

因此在机动车10中借助于第一分析装置12(基于机器学习方法23)在车辆层面上(在控制器11之外)预测控制器11的后续行为。基于该预测来进行软件更新或控制软件更新，从而使得软件更新不对机动车10的动力学性能或行驶特性造成影响。因此可以在行驶运行期间执行软件更新。

控制器11的功能和部件被结构化或划分为彼此独立的微部件、即单独的软件模块，从而通过与其余软件模块无关地替换相应软件模块的方式，控制功能能够与其余控制功能无关地被单独替换。

第二分析装置26(利用机器学习方法)可以在控制器层面上(也就是说在控制器11中)预测在控制器11中的面临的或未来的计算任务。该第二分析装置可被用于，在至少一个实施层面上(例如在低层面上，如在FPGA中，和/或在更高层面上，如在操作系统层面和/或中间件层面上)执行预测。通过对计算任务的这种预测以及在控制器11内的提前计算，可以使计算任务的计算速度被提高和/或在时间上被提前。由此可以创设时长足以执行软件更新的休止时段。

两个分析装置都可以被用于执行恶意软件识别27，该恶意软件识别使得能够基于少数派分类来识别恶意软件(流氓软件和/或网络攻击)。

基于机器学习方法控制的更新或软件更新是高效的，并且不需要为了执行软件更新而使机动车进入静止模式或停车。机动车的安全性和可靠性可以通过随时能够执行软件更新而得到提高或改善，特别是对于自动驾驶而言。通过识别恶意软件也使对机动车的恶意操纵变得困难。通过顺利的或在时间上独立进行软件更新(不需要停车运行)也能实现：根据附加的控制功能的预订和/或利用不同配置对控制功能的改变来提供软件模块。例如，用户可以在预先确定的租用时段内、例如在休假期间、例如在一周或预先确定的几周或几天或几小时内通过租用或暂时租用相应的控制功能来提高其机动车的发动机功率。该控制功能于是可以通过在机动车中的软件更新来提供。在租用车辆中，也可以根据当前签署的租用合同通过软件更新来为机动车配备在租用合同中给定的一个控制功能或多个控制功能。在所述租用合同结束时或在另一个租用合同开始时，也可以通过另一软件更新来再次适配机动车。因此，机动车变成移动容器，其功能可以通过软件更新与用户的当前需求相适配。

第一和第二分析装置一起以及独立的软件模块(微部件)的划分由此都改善了在软件更新时的性能。这种快速的软件更新也可以形成新的业务模式和/或应用情况。因此，用户例如可以以开头所述的方式通过软件更新改变其机动车的发动机的额定功率。通过软件更新实现的、机动车的功能范围的改变也可以被限制在预先确定的时段内。功能范围例如可以被限制在租用时段内，在该租用时段内用户租用机动车。因此，机动车变成移动容器，其功能范围可以通过软件更新例如根据租用合同数据例如在几分钟内(例如小于10分钟)来调整。

软件更新本身可以基于本身已知的机制来执行，即例如通过无线电连接传输新的软件模块18'以及在控制器中安装软件模块。此外还可以添加提供机器学习方法的第一分析装置。第一分析装置可以与机动车的至少一个控制器相互作用，以便记录运行数据，由此然后可以确定至少一个行驶运行模式以用于预测休止时段。具有机器学习方法的第二分析装置于是可以提供在应该执行所述软件更新的每个控制器11中。

总体而言，示例示出了如何能够通过本发明在机动车中执行快速、有效和安全的更新。

Claims (10)

1.一种用于在机动车的控制器中执行软件更新的方法，

其中，

在机动车的行驶运行期间，在机动车行驶时和/或机动车的发动机处于运行中时，由机动车的第一分析装置预测在为生成控制数据而运行控制器的预先确定的未来时段中的休止时段，在该休止时段中，控制器的至少一个软件模块在行驶运行期间至少在预先确定的最小时长中基于当时存在的车辆状态而中断控制数据的生成，在休止时段开始时启动软件更新，其中，

为了识别休止时段，根据运行数据确定向控制器传输了哪些控制任务和/或哪些其它的车辆部件需要控制器的所述至少一个软件模块，

第一分析装置基于机器学习方法和/或预测分析方法来确定休止时段，其方式是，根据机动车的历史运行数据确定机动车的至少一个行驶运行模式并且为识别休止时段而对该至少一个行驶运行模式进行再识别，

在休止时段开始时在控制模块中进行新软件模块的软件更新，该新软件模块取代软件模块，之后再由该新安装的软件模块生成控制数据，其中不必为了软件更新而中断机动车的行驶运行。

2.根据权利要求1所述的方法，其中，在控制器中提供多个软件模块，软件更新包括：对软件模块中的至少一个软件模块以与软件模块中的任何其余软件模块无关的方式执行单独的软件更新，以该至少一个软件模块的更新时长作为最小时长的基础。

3.根据权利要求2所述的方法，其中，软件模块中的至少一些软件模块分别用于设备功能的微功能和/或微部件。

4.根据权利要求3所述的方法，其中，提供微服务和/或以服务为导向的架构，以提供嵌入式软件和/或具有微部件和/或微功能的软件。

5.根据权利要求1至4中任一项所述的方法，其中，由与控制器不同的监控装置提供第一分析装置，监控装置根据在控制器与至少一个另外的车辆部件之间传输的通信数据来确定休止时段。

6.根据权利要求1至4中任一项所述的方法，其中，在控制器中提供第二分析装置，该第二分析装置预测在控制器中未来会被要求的计算任务，在这些计算任务相应被要求之前提前执行这些计算任务，由此提供控制器的使休止时段增长的空闲时间，其中，第二分析装置基于机器学习方法和/或预测分析方法来确定未来被要求的计算任务。

7.根据权利要求6所述的方法，其中，在FPGA中和/或在操作系统层面上执行。

8.根据权利要求1至4中任一项所述的方法，其中，在软件更新之后，利用与控制数据相关的少数派分类来执行恶意软件识别，该控制数据通过由于软件更新而安装的新软件模块生成，其中，少数派分类检查：新软件模块所生成的控制数据是否满足一个或多个预先确定的数据模式，如果控制数据不属于任何数据模式，该控制数据被分类为恶意软件的控制数据，并且发出关于识别到恶意软件的通知。

9.根据权利要求1至4中任一项所述的方法，其中，软件更新包括升级至少一个软件模块和/或新安装附加的软件模块以用于新的控制功能。

10.一种具有用于生成控制数据的控制器的机动车，

其特征在于，

提供有第一分析装置以用于确定控制器在行驶运行期间预计出现的休止时段，机动车被设计为用于执行根据权利要求1至9中任一项所述的方法。

Images