CN112286544A - 服务器、软件更新系统和软件更新装置 - Google Patents

Abstract

本发明提供一种服务器、软件更新系统和软件更新装置，在车辆的电子控制装置中考虑在先的软件更新状态，尽快采用在后的重要的软件更新。服务器(30)能够经由网络与用于更新车辆中搭载的车载控制装置的软件的软件更新装置进行通信，具有管理对车载控制装置的软件更新的采用的SW更新序列控制部(326)。SW更新序列控制部(326)当在对车载控制装置采用在先的第一软件更新过程中向服务器登记了要对车载控制装置采用的在后的第二软件更新时，基于关于第一软件更新的采用的信息、关于第二软件更新的采用的信息、以及对车载控制装置的第一软件更新的更新处理状态，来对车载控制装置判断是否中断第一软件更新的采用而开始第二软件更新的采用。

Description

服务器、软件更新系统和软件更新装置

技术领域

本发明涉及服务器、软件更新系统和软件更新装置。

背景技术

近年来，因为驾驶辅助功能和自动驾驶技术的进展，汽车用的电子控制装置(ECU：Electronic Control Unit)中安装的软件的规模正在增大。另外，由ECU的软件故障引起的召回的次数和召回对象的汽车台数的规模正在随之增加。另一方面，随着通信网络的进展，汽车通过无线与中心系统等连接的联网车辆也表现出普及的征兆。

在这样的状况下，将以往移动电话等中使用的无线的远程软件更新技术(OTA：Over the Air)采用于汽车、远程更新ECU等车载设备的软件的面向汽车的远程软件更新技术的需求正在提高。另外，电子控制装置的软件对汽车的安全性和安全造成较大影响，所以对于重大的漏洞和程序错误(bug)需要尽快采用更新软件。

在这样的背景下，例如专利文献1中，公开了在下载优先级低的更新软件过程中，追加了优先级高的更新软件的情况下，使优先级低的更新软件的下载中断，优先地下载优先级高的更新软件的电子控制装置的软件的更新方法。这样，能够尽快采用重要的更新软件。

现有技术文献

专利文献

专利文献1：国际公开第2018/142751号

发明内容

发明要解决的课题

但是，上述现有技术中，作为电子控制装置的软件的更新中的状态，仅考虑了更新软件的下载中，并没有考虑其他状态。在电子控制装置的软件的更新中的状态下，在从服务器对车辆下载更新软件中之外，也存在如下所述的状态。例如，有在下载完成后对对象ECU安装更新软件过程中、安装完成后的更新软件的等待激活、切换至安装了更新软件的存储器面而在对象ECU中使更新软件有效的激活中等。

如上所述，现有技术中，仅考虑了在先的低优先级的更新软件的下载中的状态，所以在下载中以外的状态时追加了在后的高优先级的更新软件的情况下，存在不能尽快地采用在后的更新软件这一问题。

本发明是考虑以上方面而得出的，目的之一在于在车辆的电子控制装置中考虑在先的软件的更新中的状态，尽快采用在后的重要的更新软件。

用于解决课题的技术方案

为了解决该课题，本发明中，作为达成目的之一的一个方案，采用一种服务器，其能够经由网络与用于更新车辆中搭载的车载控制装置的软件的软件更新装置进行通信，具有管理对所述车载控制装置的软件更新的采用的控制部，所述服务器的特征在于：所述控制部，当在对所述车载控制装置采用在先的第一软件更新的过程中向所述服务器登记了要对所述车载控制装置采用的在后的第二软件更新时，基于关于所述第一软件更新的采用的信息、关于所述第二软件更新的采用的信息、以及对所述车载控制装置的所述第一软件更新的更新处理状态，来对所述车载控制装置判断是否中断所述第一软件更新的采用而开始所述第二软件更新的采用。

发明效果

根据本发明，例如在车辆的电子控制装置中考虑在先的软件的更新中的状态，尽快采用在后的重要的更新软件。

附图说明

图1是表示实施方式1的软件更新系统的结构例的图。

图2是表示实施方式1的服务器的结构例的图。

图3是表示实施方式1中的车辆信息管理表的结构例的图。

图4是表示实施方式1中的车辆SW库的表结构例的图。

图5是表示实施方式1中的活动管理表的结构例的图。

图6是表示实施方式1中的车辆SW更新管理表的结构例的图。

图7是表示实施方式1中的更新包的结构例的图。

图8是表示实施方式1的软件更新装置的结构例的图。

图9是表示实施方式1中软件更新装置存储的车辆结构同步信息的例子的图。

图10是表示实施方式1中软件更新装置存储的活动信息的例子的图。

图11是表示实施方式1中软件更新装置存储的更新包的例子的图。

图12是表示实施方式1的CP采用处理序列(车辆结构同步契机)的一例的图。

图13是用于说明实施方式1中的与在先CP的采用中断判断结果相应的处理例的图。

图14是表示实施方式1中的在后CP允许画面的例子的图。

图15是表示实施方式1中的DL中的在后CP采用序列(车辆结构同步契机)的详细例的图。

图16是表示实施方式1中的安装中的在后CP采用序列(车辆结构同步契机)的详细例的图。

图17是表示实施方式1中的等待激活中(IG-OFF操作后)的在后CP采用序列(车辆结构同步契机)的详细例的图。

图18是表示实施方式1中的通常序列的详细例的图。

图19是表示更新包生成处理的一例的流程图。

图20是表示实施方式2的CP采用处理序列(服务器契机)的一例的图。

图21是表示实施方式2中的等待激活中的在后CP采用序列(服务器契机)的详细例的图。

图22是用于说明实施方式2中的车辆IG状态是IG-ON(IG-OFF操作前)的情况下的更新包采用(ECU存储器双面)的具体例的图。

图23是用于说明实施方式2中的车辆IG状态是IG-ON(IG-OFF操作前)的情况下的更新包采用(ECU存储器单面)的具体例的图。

图24是表示实施方式3的CP采用处理序列的一例的图。

具体实施方式

以下，基于附图详细叙述本发明的实施方式。在本说明书的各附图中，同一参考编号表示同一或类似的结构或处理。另外，在靠后的实施方式中有时仅说明与已说明的实施方式的差异，省略重复的靠后的说明。另外，各实施方式和变形例能够在本发明的技术思想的范围内且不冲突的范围内将一部分或全部结构适当组合。

[实施方式1]

实施方式1中，以车辆的点火开关接通(起动)时的“车辆结构同步”为契机，远程信息中心等服务器判断对于车辆中搭载的ECU是否中断在先活动的采用而进行在后活动的采用。如果与在先活动的优先级相比在后活动的优先级更高、并且在先活动处于下载中、安装中、等待激活中的任一者，则中断在先活动的采用而开始在后活动的采用。另外，活动是进行ECU的软件更新的事件的单位，本实施方式中，也包括用户要求的功能追加。

以下，有时将点火称为IG，将点火开关接通称为IG-ON，将点火开关关断称为IG-OFF，将活动称为CP，将软件称为SW，将下载称为DL。

(实施方式1的软件更新系统100的结构)

图1是表示实施方式1的软件更新系统100的结构例的图。软件更新系统100管理车辆10中搭载的各种ECU(电子控制装置)的软件更新，具备远程信息中心等服务器30、车辆10中搭载的软件更新装置14和TCU(Telematics Control Unit：远程通信控制单元)15。

车辆10具有各种ECU1、2、3、软件更新装置14、TCU15。图1中，车辆10所具有的ECU采用ECU1、2、3这3个，其数量只是示例，并且其种类也是发动机ECU、转向ECU、制动ECU等各种各样的。另外，图1图示了与实施方式1相关的结构，省略了其他结构的图示。

软件更新装置14经由TCU15和网络20与服务器30相互连接。网络20例如可以举出移动电话网、互联网、无线LAN(Local Area Network：局域网)等近距离无线通信或者由它们多个组合构成的等。通过该连接，能够在服务器30与软件更新装置14之间进行通信。

另外，软件更新装置14连接了ECU1、2、3。软件更新装置14将从服务器30接收到的CP中包括的更新软件采用至更新对象的ECU1、2、3。

另外，软件更新装置14连接了具备显示装置的车辆导航等的HMI(Human MachineInterface：人机界面)16。软件更新装置14的详细结构在后文中叙述。

另外，图1中，仅图示了1台搭载了软件更新装置14的车辆10，但这样的车辆10不限定于1台，也可以是多台车辆10分别搭载软件更新装置14，与服务器30连接。

服务器30经由网络20对车辆10发布更新车辆10中搭载的ECU1、2、3的软件用的更新软件。服务器30的详细结构在后文中叙述。

(实施方式1的服务器30的结构)

图2是表示实施方式1的服务器30的结构例的图。服务器30是称为远程信息中心的计算机，经由网络20对车辆10发布更新车辆10中搭载的ECU1、2、3的软件用的更新软件。服务器30具备HDD(Hard Disk Drive：硬盘驱动器)和SSD(Solid State Drive：固态硬盘)等存储部31、通过用CPU(Central Processing Unit：中央处理器)和RAM(Random AccessMemory：随机存取存储器)的协作执行程序而实现的控制部32和通信部33。另外，服务器30连接了操作者的操作终端(未图示)。

存储部31保存车辆信息管理表311、车辆SW库312、活动管理表313、车辆SW更新管理表314和更新包315。这些表、库等例如用表形式管理信息和数据，但不限于表形式。

控制部32具有车辆信息管理部321、车辆SW库控制部322、活动管理部323、车辆SW更新状态管理部324、更新包生成部325和SW更新序列控制部326。车辆信息管理部321、车辆SW库控制部322、活动管理部323、车辆SW更新状态管理部324和更新包生成部325分别进行车辆信息管理表311、车辆SW库312、活动管理表313、车辆SW更新管理表314和更新包315的数据管理。SW更新序列控制部326执行参考图12、图15、图16、图17、图18在后文中叙述的CP采用处理中的服务器30的主要处理。

图3是表示实施方式1中的车辆信息管理表311的结构例的图。车辆信息管理表311包括车辆ID311a、搭载ECU ID311b、签约者名311c、签约者电话号码311d、签约者邮件地址311e和签约者住址311f各列。车辆信息管理表311中，能够以搭载ECU ID311b为键指定CP的采用对象的车辆ID。

车辆信息管理部321在车辆10的生产时，对车辆ID311a和搭载ECU ID311b各列的字段写入识别车辆和搭载ECU的值。另外，车辆信息管理部321在销售车辆10时，对签约者名311c、签约者电话号码311d、签约者邮件地址311e和签约者住址311f各列的字段写入车辆10的购买者的各种个人信息。

图4是表示实施方式1中的车辆SW库312中的表结构例的图。车辆SW库312中的表，包括ECU SW312a、ECU SW ID312b、上传时刻312c和上传者名312d各列。更新包生成部325在对软件更新装置14发送DL请求之前生成更新包时，参考车辆SW库312的表，获取更新包所需的版本的更新SW。

车辆SW库控制部322在对ECU单位的SW生成了新版本时，对ECU SW312a列的字段上传更新SW的程序数据。另外，车辆SW库控制部322对ECU SW ID312b列的字段写入包括版本信息的更新SW的识别信息。另外，车辆SW库控制部322对上传时刻312c和上传者名312d各列写入更新SW的上传时刻和上传者名。

图5是表示实施方式1中的活动管理表313的结构例的图。活动管理表313通过活动管理部323的控制来管理包括采用的优先级和对象ECU的信息等的活动信息。活动管理表313包括CP ID313a、优先级313b、激活处理时间313c、对象车辆ID313d、是否要召回313e、相关功能313f、ECU ID313g、存储器面数313h、ECU SW ID313i和组合制约313j各列。

CP ID313a是CP的识别信息。优先级313b是用“高”、“中”、“低”等多个级别表示对对象ECU采用的CP的采用优先顺位的信息，是进行中断在先CP的采用并进行在后CP的采用的判断用的信息。例如，对于对象ECU采用“优先级”“中”的在先CP过程中，追加了“优先级”“高”的在后CP的情况下，中断“优先级”“中”的在先CP的采用，开始“优先级”“高”的在后CP的采用。优先级“高”是相当于涉及车辆控制的、安全上和安全上重要度高的SW更新的CP。

激活处理时间313c是对对象ECU采用CP时的激活处理所需的时间，用于判断在先CP的采用的中断。在先CP的更新状态是等待激活中(IG-OFF操作后)的情况下，激活处理时间313c大于规定值时判断为中断在先CP的采用而优先进行在后CP的采用，激活处理时间313c在规定值以下时判断为继续在先CP的采用。

对象车辆ID313d是作为CP的采用对象的车辆的识别信息。是否要召回313e表示CP是否要召回。相关功能313f表示CP设为更新对象的ECU设为控制对象的车辆功能。

ECU ID313g是CP设为软件更新对象的ECU的识别信息。存储器面数313h表示作为软件更新对象的各ECU的存储器面数。ECU SW ID313i是包括由CP对软件更新对象的各ECU提供的更新SW的版本信息的识别信息。图5中，例如“E1-v3”是对于“ECU ID”“E1”的ECU的版本是“v3”的更新SW。

组合制约313j例如表示关于SW的采用、是否存在与其他CP中包括的SW的“顺序依赖性”。“存在顺序依赖性”指的是与其他CP中包括的SW之间存在采用顺序的制约。图5的例子中，关于与“CP ID”“CP006”且“ECU ID”“E1”对应的“ECU SW ID”“E1-v4”，“组合制约”中包括的“E3-v5”存在于“CP ID”“CP005”中包括的“ECU SW ID”中。该情况下，称为“CP ID”“CP005”和“CP006”是“存在顺序依赖性”。“存在顺序依赖性”在图5的例子中，指的是没有采用“CP ID”“CP005”时不能采用“CP ID”“CP006”这样的，以已采用在先CP为前提地能够采用在后CP。

但是，组合制约313j不限于上述“顺序依赖性”，例如也可以是多个ECU中分别安装的更新SW的组合自身的制约。

图6是表示实施方式1中的车辆SW更新管理表314的结构例的图。车辆SW更新管理表314通过车辆SW更新状态管理部324的控制，管理表示车辆10的SW的更新处理的阶段的更新状态、当前的版本(ECU SW ID)等。车辆SW更新管理表314中登记的信息，是因车辆10的IG-ON时的“车辆结构同步”而从各车辆10发送来的信息。

车辆SW更新管理表314包括车辆ID314a、更新状态314b、采用中活动ID314c、搭载ECU ID314d和ECU SW ID314e各列。

车辆ID314a是作为更新状态314b的管理单位的车辆10的识别信息。更新状态314b表示因采用CP而产生的SW的更新中的状态或非更新中。SW的更新中的状态中，例如存在“DL中”、“安装中”、“等待激活中(IG-OFF操作前)”、“等待激活中(IG-OFF操作后)”、“激活中”。

“DL中”指的是在车辆10的用户允许CP之后、直到软件更新装置14完成从服务器30的更新包DL。“安装中”指的是在DL完成之后、软件更新装置14对存储器双面的ECU发送更新SW之后、直到各ECU完成更新SW的安装。在“安装中”时，软件更新装置14不对对象ECU发送面向存储器单面的ECU的更新SW，而是保持在本装置内的存储区域中。另外，存储器双面的ECU具有双面的非易失性存储区域，通过进行使任一方成为有效面的切换，而能够在使有效面中安装的SW运行中，在非有效面中安装更新SW。存储器单面的ECU仅具有单面的非易失性存储区域。

“等待激活中(IG-OFF操作前)”指的是安装完成之后直到进行IG-OFF操作。“等待激活中(IG-OFF操作后)”指的是在安装完成后进行IG-OFF操作、在由用户输入CP允许之后直到在车辆10内开始激活。将“等待激活中(IG-OFF操作前)”与“等待激活中(IG-OFF操作后)”合称为“等待激活中”的情况下，指的是在安装完成之后直到在车辆10内开始激活。

“激活中”指的是激活开始之后直到在车辆10内对各ECU的有效的存储器面的切换完成。在“激活中”时，软件更新装置14对对象ECU发送在本装置中保持的面向存储器单面的ECU的更新SW。接收了面向存储器单面的ECU的更新SW的对象ECU在单面的存储器中覆盖安装更新SW。

采用中活动信息314c表示对于每个“车辆ID”采用中的CP的识别信息。搭载ECUID314d是各车辆10中搭载的ECU的识别信息。ECU SW ID314e是包括对各车辆中搭载的各ECU采用的SW的版本信息的识别信息。

图7是表示实施方式1中的更新包315的结构例的图。更新包生成部325在对软件更新装置14发送更新包的DL请求之前、或者对服务器30登记了新的CP时，参照车辆SW库312和活动管理表313，生成包括对象ECU的更新SW的每个CP的更新包。以下有时将包称为PKG。

更新包315对于每个CP生成，包括CP ID315a、ECU SW315b、ECU SW ID315c和SW更新知识信息315d。CP ID315a是更新PKG设为对象的CP的识别信息。ECU SW315b是用CPID315a识别的CP的更新PKG中包括的更新SW的程序数据。

ECU ID315c是用ECU SW315b识别的更新SW的对象ECU的识别信息。ECU SW ID315d是包括版本信息的更新SW的识别信息。

SW更新指示信息315e是在将用CP ID315a识别的CP的更新PKG采用于对象车辆时、考虑各SW的组合制约和各ECU的存储器面数来对各ECU指示的SW更新的详细内容。通过按SW更新指示信息315e对对象的各ECU采用各CP的更新PKG，例如能够使用在先CP安装后且激活前的各ECU的存储器的安装状态，高效率地进行在后CP的采用。

(实施方式1的软件更新装置的结构)

图8是表示实施方式1的软件更新装置14的结构例的图。软件更新装置14也称为OTA主机，具备HDD和SSD等存储部141、通过用CPU和RAM的协作执行程序而实现的更新控制部142、通信部33、车外通信IF143、HMI通信IF144和车内通信IF145。

车外通信IF143是经由TCU15和网络20与服务器30进行通信用的接口。HMI通信IF144是连接HMI16的接口。车内通信IF145包括对以太网(注册商标)等高速的车载网络连接用的高速通信IF、和对CAN(Controller Area Network：控制器局域网)等低速的车载网络连接用的低速通信IF。车辆10中搭载的ECU1、2、3经由车内通信IF145与更新控制部142连接。

存储部141保存车辆结构同步信息1411、活动信息1412和更新包1413。

图9是表示实施方式1中软件更新装置14存储的车辆结构同步信息1411的例子的图。车辆结构同步信息1411在车辆10中、在IG-ON时被更新控制部142收集并保存至存储部141，并且经由车外通信IF143发送至服务器30。

车辆结构同步信息1411包括车辆ID1411a、更新中状态1411b、采用中活动ID1411c、搭载ECU ID1411d和ECU SW ID1411e。车辆结构同步信息1411与图6所示的车辆SW更新管理表314中的对应车辆10的记录相同。

图10是表示实施方式1中软件更新装置14存储的活动信息1412的例子的图。活动信息1412是从服务器30通知的最新的CP信息。

活动信息1412包括CP ID1412a、优先级1412b、激活处理时间1412c、对象车辆ID1412d、是否要召回1412e、相关功能1412f、ECU ID1412g、存储器面数1412h、ECU SWID1412i和组合制约1412j。活动信息1412与图5所示的活动管理表313中的对对应车辆10通知的最新的记录相同。

图11是表示实施方式1中软件更新装置14存储的更新包1413的例子的图。更新包1413包括CP ID1413a、ECU SW1413b、ECU ID1413c、ECU SW ID1413d和SW更新指示信息1413e。更新包1413是图7所示的更新包315中的从服务器30接收到的最新的更新PKG。

(实施方式1的CP采用处理序列)

图12是表示实施方式1的CP采用处理序列(车辆结构同步契机)的一例的图。本实施方式中，以用户h1进行的车辆10的IG-ON时的“车辆结构同步”为契机，判断是否中断在先CP的采用并开始在后CP的采用。

首先，在步骤S11中，服务器30接受在后CP和对应的更新SW，将在后CP的活动信息登记至活动管理表313，将更新SW登记至车辆SW库312。接着，在步骤S12中，由用户h1对车辆10进行IG-ON。接着，在步骤S13中，软件更新装置14以步骤S12中的IG-ON为契机，对服务器30发送车辆结构同步信息1411。

接着，在步骤S14中，服务器30基于从软件更新装置14接收到的车辆结构同步信息1411，确认车辆10中的在先CP的更新状态，并且参照活动管理表313，确认在先CP和在后CP的优先级和CP采用的顺序依赖性。

接着，在步骤S15中，服务器30基于步骤S14中确认的在先CP和在后CP的优先级、在先CP的更新状态和对于在先CP的在后CP的采用顺序依赖性，判断是否进行在先CP的采用中断和在后CP的采用开始。

(与在先CP的采用中断判断结果相应的处理)

对于图12的步骤S15的判断逻辑，参考图13进行说明。图13是用于说明实施方式1中的与在先CP的采用中断判断结果相应的处理例的图。虽然图13中未图示，但在“优先级”是在先CP≥在后CP的情况下，不中断在先CP的采用，保持使在先CP的采用完成。

另一方面，“优先级”是“在先CP<在后CP”的情况下，如图13所示，与“在先CP的更新状态”、“CP采用的顺序依赖性”和“激活处理时间”相应地，中断在先CP或是继续使其完成的处理不同。“优先级”和“CP采用的顺序依赖性”是活动信息中的关于活动的采用的信息的一例。“激活处理时间”是激活中的处理所需的估算时间。

如图13所示，“CP采用的顺序依赖性”是“存在”或者“在先CP的更新状态”是“激活中(包括对存储器单面ECU安装中)”的情况下，继续在先CP。“CP采用的顺序依赖性”是“不存在”的情况下，与“在先CP的更新状态”和“激活处理时间”相应地，中断在先CP或是继续使其完成的处理不同。

以下，对于“CP采用的顺序依赖性”是“不存在”的情况进行说明。“在先CP的更新状态”是“DL中”时，立即中断在先CP的DL，进行将已DL至软件更新装置14的数据丢弃的处理。另外，“在先CP的更新状态”是“安装中(存储器双面ECU)”时，立即中断在先CP的安装，进行对ECU的存储器安装中的数据的消去和将已DL至软件更新装置14的数据丢弃的处理。

另外，“在先CP的更新状态”是“等待激活中(IG-OFF操作前)”时，立即中断在先CP的等待激活，将已DL至软件更新装置14的数据丢弃，进行以在先CP安装后的状态为基准生成更新PKG(包括指示信息)的处理。

另外，“在先CP的更新状态”是“等待激活中(IG-OFF操作后)”且“激活处理时间”是“大于规定值”时，立即中断在先CP的等待激活(用在先CP允许画面(参考)提示允许在后CP)，将已DL数据丢弃，进行以在先CP安装后的状态为基准生成更新PKG(包括指示信息)的处理。“在先CP的更新状态”是“等待激活中(IG-OFF操作后)”且“激活处理时间”是“规定值以下”时，继续在先CP。

使说明返回图12。以下，步骤S16～S24是步骤S15中判断为在先CP的优先级<在后CP的优先级(图12的例子中在先CP的优先级是“中/低”，在后CP的优先级是“高”)、在先CP的更新状态是DL中、在后CP不存在对于在先CP的CP采用的顺序依赖性的情况下的处理。

在步骤S16中，服务器30对软件更新装置14发送在先CP的DL中断请求。接着，在步骤S17中，软件更新装置14响应DL中断请求地中断在先CP的DL，将已DL至本装置的存储区域的数据丢弃。

接着，在步骤S18中，服务器30对软件更新装置14通知在后CP。接着，在步骤S19中，软件更新装置14对HMI16发送在后CP允许画面显示请求。接着，在步骤S20中，HMI16响应在后CP允许画面显示请求地，在其显示部上显示如图14所示的在后CP允许画面16a。图14是表示实施方式1中的在后CP允许画面的例子的图。另外，CP允许中，存在车辆销售等时实施的事前允许、CP通知时实施的CP允许通知和IG-OFF操作后实施的激活允许，本实施方式中以激活允许为例进行说明。

接着，在步骤S21中，用户h1操作在后CP允许画面16a的是按钮16a1而输入允许在后CP或者操作否按钮16a2而输入不允许在后CP。接着，在步骤S22中，HMI16将允许在后CP或不允许在后CP的操作信息发送至软件更新装置14。接着，在步骤S23中，软件更新装置14将基于从HMI16接收到的操作信息得到的允许结果发送至服务器30。

服务器30在从软件更新装置14接收到的允许结果是允许在后CP的情况下执行步骤S24，但在是不允许在后CP的情况下不执行步骤S24，使CP采用处理结束。步骤S24结束时CP采用处理结束。步骤S24的DL中的在后CP采用序列(车辆结构同步)的详细在后文中叙述。

以下，步骤S25～S33是步骤S15中判断为在先CP的优先级<在后CP的优先级(图12的例子中在先CP的优先级是“中/低”，在后CP的优先级是“高”)、在先CP的更新状态是安装中、在后CP不存在对于在先CP的CP采用的顺序依赖性的情况下的处理。

在步骤S25中，服务器30对软件更新装置14发送在先CP的安装中断请求。接着，在步骤S26中，软件更新装置14响应安装中断请求地，中断对ECU1、2、3中的安装处理中的ECU的在先CP的安装。接着，在步骤S27～S32中，分别执行与步骤S18～S23同样的处理。

在步骤S32之后，服务器30在从软件更新装置14接收到的允许结果是允许在后CP的情况下执行步骤S33，但在是不允许在后CP的情况下不执行步骤S33，使CP采用处理结束。步骤S33结束时CP采用处理结束。步骤S33的安装中的在后CP采用序列(车辆结构同步)的详情在后文中叙述。

另外，步骤S34是步骤S15中判断为在先CP的优先级<在后CP的优先级(图12的例子中在先CP的优先级是“低”，在后CP的优先级是“中”)、在先CP的更新状态是等待激活中(IG-OFF操作后)、在后CP不存在对于在先CP的CP采用的顺序依赖性的情况下的处理。步骤S34结束时CP采用处理结束。步骤S34的等待激活中(IG-OFF操作后)的在后CP采用序列的详细在后文中叙述。

另外，步骤S35是步骤S15中关于在先CP和在后CP优先级、在先CP的更新状态和有无顺序依赖性判断为上述以外的状况的情况下的处理。步骤S35结束时CP采用处理结束。步骤S35的通常序列的详情在后文中叙述。

(实施方式1的DL中的在后CP采用序列(车辆结构同步契机))

图15是表示图12的步骤S24所示的、实施方式1中的DL中的在后CP采用序列(车辆结构同步契机)的详细例的图。实施方式1中的DL中的在后CP采用序列(车辆结构同步契机)中，中断在先CP的DL，进行在后CP的更新PKG的DL、安装和激活。

首先，在步骤S2401中，服务器30将采用中的CP从在先CP切换至在后CP。此时如步骤S2402所示，软件更新装置14正在DL在先CP过程中。

接着，在步骤S2403中，服务器30对软件更新装置14发送DL中断请求。接着，在步骤S2404中，软件更新装置14中断在先CP的DL。接着，在步骤S2405中，软件更新装置14将已DL数据丢弃。

接着，在步骤S2406中，服务器30以在先CP采用前的各ECU的SW状态为基准，生成在后CP的更新PKG。更新PKG的生成处理的详情在后文中叙述。接着，在步骤S2407中，服务器30对软件更新装置14发送更新PKG的DL请求。接着，在步骤S2408中，软件更新装置14从服务器30进行更新PKG的DL。

接着，在步骤S2409中，软件更新装置14对服务器30发送DL完成通知。接着，在步骤S2410中，服务器30从软件更新装置14接收DL完成通知时，在车辆SW更新管理表314中将相当于在后CP的更新状态314b变更为“安装中”。

接着，在步骤S2411中，软件更新装置14按照下载的更新PKG和SW更新指示信息，对对象的ECU1、2、3安装更新SW。接着，在步骤S2412中，软件更新装置14对服务器30发送安装完成通知。接着，在步骤S2413中，服务器30从软件更新装置14接收安装完成通知时，在车辆SW更新管理表314中将相当于在后CP的更新状态314b变更为“等待激活中(IG-OFF操作前)”。更新状态314b在IG-OFF操作后被变更为“等待激活中(IG-OFF操作后)”。

接着，在步骤S2414中，软件更新装置14在车辆的IG-OFF之后，经由HMI16从车辆10的用户h1接受对于在后CP的是否允许激活，接受了允许激活的情况下，激活已对对象的ECU1、2、3安装的在后CP的更新SW。

接着，在步骤S2415中，软件更新装置14对服务器30发送更新完成通知。接着，在步骤S2416中，服务器30因为从软件更新装置14接收了更新完成通知，而在车辆SW更新管理表314中删除相当于在后CP的采用中活动ID314c的值，进行将更新状态314b变更为“非更新中”的更新完成处理。通过以上所述，DL中的在后CP采用序列(车辆结构同步)结束。

(实施方式1的安装中的在后CP采用序列(车辆结构同步契机))

图16是表示图12的步骤S33所示的、实施方式1中的安装中的在后CP采用序列(车辆结构同步契机)的详细例的图。实施方式1中的安装中的在后CP采用序列(车辆结构同步契机)中，中断在先CP的安装，进行在后CP的更新PKG的DL、安装和激活。

首先，在步骤S3301中，服务器30将采用中的CP从在先CP切换至在后CP。此时如步骤S3302所示，软件更新装置14正在对更新SW的安装对象的ECU1、2、3安装在先CP过程中。

接着，在步骤S3303中，服务器30对软件更新装置14发送安装中断请求。接着，在步骤S3304中，软件更新装置14和正在安装更新SW过程中的对象的ECU1、2、3中断在先CP的安装。此时，正在安装更新SW过程中的对象的ECU1、2、3消去正在对存储器安装过程中的更新SW的数据。接着，在步骤S3305中，软件更新装置14将已DL数据丢弃。

此后的步骤S3306～S3316分别与图15的步骤S2406～S2416相同。通过以上所述，安装中的在后CP采用序列(车辆结构同步)结束。

(实施方式1的等待激活中(IG-OFF操作后)的在后CP采用序列(车辆结构同步契机))

图17是表示图12的步骤S34所示的、实施方式1中的等待激活中(IG-OFF操作后)的在后CP采用序列(车辆结构同步契机)的详细例的图。实施方式1的等待激活中(IG-OFF操作后)的在后CP采用序列(车辆结构同步契机)中，对车辆10的用户通知存在优先级更高的在后CP，在用户允许之后生成在后CP的更新PKG并DL和采用。

首先，在步骤S3401中，服务器30在IG-OFF操作后，对软件更新装置14通知存在优先级是“高”的在后CP。接着，在步骤S3402中，软件更新装置14对HMI16发送在后CP允许画面显示请求。接着，在步骤S3403中，HMI16响应在后CP允许画面显示请求地，在其显示部上显示如图14所示的在后CP允许画面16a。

接着，在步骤S3404中，用户h1操作在后CP允许画面16a的是按钮16a1而输入允许在后CP或者操作否按钮16a2而输入不允许在后CP。接着，在步骤S3405中，HMI16将允许在后CP或不允许在后CP的操作信息发送至软件更新装置14。接着，在步骤S3406中，软件更新装置14将基于从HMI16接收到的操作信息得到的允许结果发送至服务器30。

服务器30在从软件更新装置14接收到的允许结果是允许在后CP的情况下执行步骤S3407～S3417，但在是不允许在后CP的情况下不执行步骤S3407～S3417，CP采用处理结束。

此后的步骤S3407～S3417分别与图15的步骤S2406～S2416相同。通过以上所述，等待激活中(IG-OFF操作后)的在后CP采用序列(车辆结构同步契机)结束。

(实施方式1的通常序列)

图18是表示实施方式1中的通常序列的详细例的图。示出实施方式1中的通常序列中，在在先CP的激活完成之后进行在后CP的采用的情况。图18中，作为一例，按ECU1和ECU2是存储器双面的ECU、ECU3是存储器单面的ECU进行说明，但不限于此。

图18所示的通常序列中，前提是在处理开始之前，由服务器30执行参考图19在后文中叙述的更新包生成处理，生成了以在先CP采用后的状态为基准的更新PKG。

首先，对于步骤S3501～S3505的更新包的下载处理进行说明。首先，在步骤S3501中，服务器30在车辆SW更新管理表314中将相当于在后CP的更新状态314b变更为“DL中”。

接着，在步骤S3502中，服务器30对软件更新装置14发送在后CP的DL请求。接着，在步骤S3503中，软件更新装置14从服务器30DL在后CP的更新PKG。接着，在步骤S3504中，软件更新装置14对服务器30发送DL完成通知。接着，在步骤S3505中，服务器30从软件更新装置14接收DL完成通知时，在车辆SW更新管理表314中将相当于在后CP的更新状态314b变更为“安装中”。

接着，对于步骤S3506～S3513的更新包的安装处理进行说明。在步骤S3505之后，在步骤S3506中，软件更新装置14进行DL的更新PKG的解码、解压缩、签名验证、更新SW采用目标ECU检查等包处理。接着，在步骤S3507中，软件更新装置14将存储器单面的ECU3用的更新程序保存在本装置的存储区域中。

接着，在步骤S3508中，软件更新装置14对存储器双面的ECU1、2发送各自的更新SW。在步骤S3509中ECU1将从软件更新装置14接收到的更新SW写入本装置的存储器的非有效面中，在步骤S3510中ECU2将从软件更新装置14接收到的更新SW写入本装置的存储器的非有效面中。

接着，在步骤S3511中，ECU1在对本装置的存储器写入更新SW完成时，对软件更新装置14发送写入完成通知。同样地，在步骤S3512中，ECU2在对本装置的存储器写入更新SW完成时，对软件更新装置14发送写入完成通知。

接着，在步骤S3513中，软件更新装置14对服务器30发送安装完成通知。另外，即使对存储器单面的ECU写入更新SW尚未完成，只要对存储器双面的ECU写入更新SW已完成，就发送步骤S3513的安装完成通知。接着，在步骤S3514中，服务器30从软件更新装置14接收安装完成通知时，在车辆SW更新管理表314中将相当于在后CP的更新状态314b变更为“等待激活中(IG-OFF操作前)”。

接着，对于步骤S3515～S3529的更新包的激活处理进行说明。从步骤S3514到步骤S3515之间，服务器30收到由用户h1进行了车辆10的IG-OFF操作的通知时，在车辆SW更新管理表314中将相当于在后CP的更新状态314b变更为“等待激活中(IG-OFF操作后)”。

接着，在步骤S3515中，软件更新装置14对HMI16发送在后CP允许画面显示请求。接着，在步骤S3516中，HMI16响应在后CP允许画面显示请求而在其显示部上显示图14所示的在后CP允许画面16a。

接着，在步骤S3517中，用户h1操作在后CP允许画面16a的是按钮16a1而输入允许在后CP或者操作否按钮16a2而输入不允许在后CP。接着，在步骤S3518中，HMI16将允许在后CP或不允许在后CP的操作信息发送至软件更新装置14。接着，在步骤S3519中，软件更新装置14将基于从HMI16接收到的操作信息得到的允许结果发送至服务器30。

接着，在步骤S3520中，服务器30从软件更新装置14接收允许在后CP时，在车辆SW更新管理表314中将相当于在后CP的更新状态314b变更为“激活中”。

接着，在步骤S3521中，软件更新装置14对存储器单面的ECU3发送更新SW。接着，在步骤S3522中，ECU3将从软件更新装置14接收到的更新SW写入本装置的存储器中。

接着，在步骤S3523中，软件更新装置14对ECU1、2发送存储器的有效面切换请求。在步骤S3524、S3525中ECU1和ECU2分别响应来自软件更新装置14的有效面切换请求来使当前的有效面非有效化，使写入了更新SW的非有效面有效化。

接着，在步骤S3526、S3527中，ECU1和ECU2分别在有效面切换完成时，对软件更新装置14发送有效面切换完成通知。

接着，在步骤S3528中，软件更新装置14对服务器30发送更新完成通知。接着，在步骤S3529中，服务器30因为从软件更新装置14接收了更新完成通知，而在车辆SW更新管理表314中删除相当于在后CP的采用中活动ID314c的值，进行将更新状态314b变更为“非更新中”的更新完成处理。通过以上所述，通常序列结束。

(更新包生成处理)

图19是表示更新包生成处理的一例的流程图。更新包生成处理在DL中的在后CP采用序列(车辆结构同步契机)(参考图15)的步骤S2406、安装中的在后CP采用序列(车辆结构同步契机)(参考图16)的步骤S3306、等待激活中(IG-OFF操作后)的在后CP采用序列(车辆结构同步契机)(参考图17)的步骤S3407等的更新PKG生成时执行。更新包生成处理由服务器30的更新包生成部325执行。

首先，在步骤S101中，更新包生成部325在车辆SW更新管理表314中，取得当前时刻与该车辆10关联的ECU SW ID314e。接着，在步骤S102中，更新包生成部325参考活动管理表313，取得与在先CP和在后CP分别对应的ECU ID313i、存储器面数313h和SW的组合制约313j。

接着，在步骤S103中，更新包生成部325选择对于全部在先CP(或在后CP)的ECU ID反复的循环(步骤S104～S116)中的处理对象的1个ECU ID。在该循环内，在步骤S104中，更新包生成部325对于步骤S103中选择的ECU ID，判断是否在先CP的ECU SW ID＝在后CP的ECU SW ID。在先CP的ECU SW ID＝在后CP的ECU SW ID的情况下(步骤S104中的否)，将该ECU ID的在后CP中的SW与在先CP相比不变更(保持在先CP)的指示包括在SW更新指示信息中(步骤S105)。

另一方面，在先CP和在后CP中ECU SW ID不一致的情况下(步骤S104中的否)，更新包生成部325对于步骤S103中选择的ECU ID，判断是否在先CP的ECU SW ID<在后CP的ECUSW ID(在先CP与在后CP相比SW的版本更旧)(步骤S106)。在先CP的ECU SW ID<在后CP的ECUSW ID的情况下(步骤S106中的是)，更新包生成部325将与该ECU ID对应的在后CP的更新SW采用的指示包括在SW更新指示信息中(步骤S107)。接着，在步骤S108中，更新包生成部325将与该ECU ID对应的在后CP的更新SW包括在更新PKG中。

另一方面，在先CP的ECU SW ID≥在后CP的ECU SW ID的情况下(步骤S106中的否)，更新包生成部325判断在先CP与在后CP之间是否存在SW的组合制约(步骤S109)。在先CP与在后CP之间不存在SW的组合制约的情况下(步骤S109中的否)，更新包生成部325将该ECU ID的在后CP中的SW与在先CP相比不变更(保持在先CP)的指示包括在SW更新指示信息中(步骤S110)。

另一方面，在先CP与在后CP之间存在SW的组合制约的情况下(步骤S109中的是)，更新包生成部325判断是否步骤S101中取得的车辆10的当前的ECU SW ID＝在后CP的ECUSW ID(步骤S111)。并非当前的ECU SW ID＝在后CP的ECU SW ID的情况下(步骤S111中的否)，更新包生成部325将与该ECU ID对应的在后CP的更新SW采用的指示包括在SW更新指示信息中(步骤S112)。接着，在步骤S113中，更新包生成部325将与该ECU ID对应的在后CP的更新SW包括在更新PKG中。

另一方面，当前的ECU SW ID＝在后CP的ECU SW ID的情况下(步骤S111中的是)，更新包生成部325判断该ECU ID的ECU的存储器面数是否2(步骤S114)。该ECU ID的ECU的存储器面数是2的情况下(步骤S114中的是)，更新包生成部325将不切换有效面的指示包括在SW更新指示信息中(步骤S115)。

另一方面，该ECU ID的存储器面数是1的情况下(步骤S114中的否)，更新包生成部325将不对与该ECU ID对应的ECU发送更新SW的指示包括在SW更新指示信息中(步骤S116)。步骤S105、S108、S110、S113、S115或S116结束时，更新包生成部325使处理转移至步骤S103，选择下一个ECU ID，对于全部ECU ID执行步骤S104～S116的处理。

这样，以车辆10的各ECU的当前的SW的安装状态为基准生成对于在后CP指示采用方法的详情的SW更新指示信息并包括在更新PKG中，由此能够高效率地进行在后CP的采用。

根据实施方式1，在车辆10中在先CP是DL中、安装中、等待激活中的任一者的情况下，中断低优先级的在先CP的采用，开始高优先级的在后CP的采用，所以在在先CP的采用完成之前的任意更新状态下，都能够优先地采用在后CP。另外，在各车辆10的IG-ON时的各个车辆结构同步的时机判断在先CP的中断和在后CP的采用开始，所以判断处理的时机被分散，能够避免对服务器30的负荷集中。

[实施方式2]

实施方式2中，以对服务器登记了在后CP为契机，服务器对于车辆中搭载的ECU判断是否中断在先CP的采用并进行在后CP的采用，这一点与实施方式1不同。

(实施方式2的CP采用处理序列(服务器契机))

图20是表示实施方式2的CP采用处理序列(服务器契机)的一例的图。首先，服务器30执行与图12的步骤S11同样的步骤S41。以执行步骤S41为契机，执行以下步骤S42～S48。

以下，服务器30、软件更新装置14、ECU1～3和HMI16进行对于车辆SW更新管理表314中登记的全部车辆ID314a分别执行步骤S42～S48的循环处理。

在步骤S42中，服务器30参照车辆SW更新管理表314，确认本次的处理对象的车辆10中的在先CP的更新状态。此时，服务器30参照活动管理表313，确认在先CP和在后CP的各优先级和CP采用的顺序依赖性。

接着，在步骤S43中，服务器30与图12的步骤S15同样地，基于步骤S42中确认的在先CP和在后CP的优先级、在先CP的更新状态和对于在先CP的在后CP的采用顺序依赖性，判断是否进行在先CP的采用中断和在后CP的采用开始。

步骤S44是步骤S43中判断为在先CP的优先级<在后CP的优先级(图20的例子中在先CP的优先级是“中/低”，在后CP的优先级是“高”)、在先CP的更新状态是DL中、在后CP不存在对于在先CP的CP采用的顺序依赖性的情况下的处理。步骤S44与在图15中示出详情的实施方式1的步骤S24相比，步骤S2406的处理在步骤S2401之前执行这一点不同。步骤S44在这一点以外与图15所示的步骤S24相同。

步骤S45是步骤S43中判断为在先CP的优先级<在后CP的优先级(图20的例子中在先CP的优先级是“中/低”，在后CP的优先级是“高”)、在先CP的更新状态是安装中、在后CP不存在对于在先CP的CP采用的顺序依赖性的情况下的处理。步骤S45与在图16中示出详情的实施方式1的步骤S33相比，步骤S3306的处理在步骤S3301之前执行这一点不同。步骤S45在这一点以外与图16所示的步骤S33相同。

步骤S46是步骤S43中判断为在先CP的优先级<在后CP的优先级(图20的例子中在先CP的优先级是“中/低”，在后CP的优先级是“高”)、在先CP的更新状态是等待激活中、在后CP不存在对于在先CP的CP采用的顺序依赖性的情况下的处理。步骤S46的等待激活中的在后CP采用序列的详情在后文中叙述。

步骤S47是步骤S43中判断为在先CP的优先级<在后CP的优先级(图20的例子中在先CP的优先级是“中/低”，在后CP的优先级是“高”)、在先CP的更新状态是激活中、在后CP不存在对于在先CP的CP采用的顺序依赖性的情况下的处理。在步骤S47中，服务器30继续进行在先CP采用。

步骤S48是步骤S43中关于在先CP和在后CP优先级、在先CP的更新状态和有无顺序依赖性判断为上述以外的状况的情况下的处理。步骤S48的通常序列的详情与图18所示的步骤S35的通常序列的详情相同。

(实施方式2的等待激活中的在后CP采用序列(服务器契机))

图21是表示图20的步骤S46所示的、实施方式2中的等待激活中的在后CP采用序列(服务器契机)的详细例的图。

首先，在步骤S4601中，服务器30将采用中的CP从在先CP切换至在后CP。接着，在步骤S4602中，服务器30和软件更新装置14确认该车辆10的IG状态是否IG-ON(IG-OFF操作前)和IG-ON(IG-OFF操作后)中的任一者。

以下步骤S4603～S4613是步骤S4602中判断为车辆IG状态是IG-ON(IG-OFF操作前)的情况下的处理。

在步骤S4603中，服务器30生成更新PKG。此时，服务器30以在先CP安装后的状态为基准生成在后CP的更新PKG。另外，服务器30对于各ECU考虑在先CP和在后CP之间的SW组合制约和存储器面数地，决定包括在更新PKG中的更新SW和SW更新指示信息。

此后的S4604～S4613分别与图15的步骤S2407～S2416相同。

另一方面，步骤S4614是步骤S4602中判断为车辆IG状态是IG-ON(IG-OFF操作后)的情况下的处理。步骤S4614与图12所示的步骤S34的等待激活中(IG-OFF操作后)的在后CP采用序列相同，其详情如图17所示。

(实施方式2的等待激活中的在后CP采用的具体例)

图22是用于说明实施方式2中的车辆IG状态是IG-ON(IG-OFF操作前)的情况下的更新包采用(ECU存储器双面)的具体例的图。图23是用于说明实施方式2中的车辆IG状态是IG-ON(IG-OFF操作前)的情况下的更新包采用(ECU存储器单面)的具体例的图。参考图22和图23，对于在在先CP的等待激活中追加了在后CP的情况下、以在先CP安装后状态为基准生成在后CP的更新PKG的情况进行说明。在更新PKG中，包括考虑了各ECU的SW组合和存储器面数的SW更新指示信息。

首先，参考图22，对于车辆10具备存储器双面的ECU1～3的情况进行说明。

图22的(b)表示对于图22的(a)所示的在先CP采用前的车辆10(车辆ID：V100)的ECU1、2、3安装在先CP的更新包之后、等待激活的状态。如图22的(b)所示，在ECU1的存储器面1a中安装了ECU SW ID：E1-v3，在存储器面1b(有效面)中安装了ECU SW ID：E1-v2。另外，在ECU2的存储器面2a中安装了ECU SW ID：E2-v4，在存储器面2b(有效面)中安装了ECU SWID：E2-v3。另外，在ECU3的存储器面3a(有效面)中安装了ECU SW ID：E3-v4，在存储器面3b中安装了ECU SW ID：E3-v5。另外，在软件更新装置14的存储器中，保持了在先CP的更新PKG。

假设此时在服务器30中追加了在后CP的更新PKG。追加的在后CP的更新PKG包括ECU1的更新SW(ECU SW ID：E1-v4)、ECU2的更新SW(ECU SW ID：E2-v3)和作为SW更新指示信息的“ECU1：采用在后CP的更新SW(安装E1-v4)，ECU2：不切换有效面，ECU3：无变更”。另外，图22的(b)中对更新SW(ECU SW ID：E2-v3)附加了“×”，这表示不对车辆10(车辆ID：V100)发送更新SW(ECU SW ID：E2-v3)。

接着，在后CP的更新PKG被从服务器30下载至车辆10，按照SW更新指示信息将在后CP的更新PKG中包括的更新SW安装至各ECU，并激活。具体而言，如图22的(c)所示，对ECU1的存储器面1a安装E1-v4，使有效面从存储器面1b切换至存储器面1a。另外，不对ECU2安装E2-v3，也不进行有效面的切换，由此能够直接使用在存储器面2b中使E2-v3有效化的在先CP采用前的状态，省略安装和激活的处理而实现高效率化。另外，在ECU3中，使通过在先CP对存储器面3b安装的E3-v5有效化。

接着，参考图23，对于车辆10具备存储器双面的ECU1、2和代替ECU3的存储器单面的ECU4的情况进行说明。

图23的(b)表示对图23的(a)所示的在先CP采用前的车辆10(车辆ID：V100)的ECU1、2、4安装在先CP的更新包之后、等待激活的状态。如图23的(b)所示，在ECU1的存储器面1a中安装了E1-v3，在存储器面1b(有效面)中安装了E1-v2。另外，在ECU2的存储器面2a中安装了E2-v4，在存储器面2b(有效面)中安装了E2-v3。另外，在ECU4的存储器面4a(有效面)中安装了E4-v4。另外，在软件更新装置14的存储器中保持了E4-v5。

假设此时在服务器30中追加了在后CP的更新PKG。追加的在后CP的更新PKG包括ECU1的更新SW(ECU SW ID：E1-v4)、ECU2的更新SW(ECU SW ID：E2-v3)、ECU4的更新SW(ECUSW ID：E4-v4)和作为SW更新指示信息的“ECU1：采用在后CP的更新SW(安装E1-v4)，ECU2：不切换有效面，ECU4：不对ECU4发送E4-v5”。另外，图23的(b)中对更新SW(ECU SW ID：E2-v3和E4-v4)附加了“×”，这表示不对车辆10(车辆ID：V100)发送这些ECU SW ID的更新SW。

接着，在后CP的更新PKG被从服务器30下载至车辆10，按照SW更新指示信息将在后CP的更新PKG中包括的更新SW安装至各ECU，并激活。具体而言，如图23的(c)所示，对ECU1的存储器面1a安装E1-v4，使有效面从存储器面1b切换至存储器面1a。另外，不对ECU2安装E2-v3，也不进行有效面的切换。另外，软件更新装置14的存储器中保持的E4-v5不发送至ECU4而是丢弃，维持在先CP采用前对存储器面4a安装的E4-v4。

通过这样按照SW更新指示信息对对象的各ECU采用各CP的更新PKG，例如能够使用在先CP安装后且激活前的各ECU的存储器的安装状态，高效率地进行在后CP的采用。

另外，服务器30中的在后CP的更新PKG的生成，可以响应请求地生成，也可以事先生成。通过事先生成在后CP的更新PKG，能够缩短在更新PKG生成后直到安装在后CP的时间，防止ECU的存储器状态与在后CP的更新PKG生成时相比变化、在在后CP的安装中发生不匹配。

根据实施方式2，服务器30以对服务器30登记了在后CP为契机，对于车辆10中搭载的ECU，进行是否中断在先CP的采用并进行在后CP的采用的判断，所以每当登记了重要的在后CP后，能够迅速地进行其采用。

[实施方式3]

实施方式3中，软件更新装置14以车辆的IG-ON时的“车辆结构同步”为契机，对于车辆中搭载的ECU，判断是否中断在先CP的采用并进行在后CP的采用，这一点与实施方式1不同。

图24是表示实施方式3的CP采用处理序列的一例的图。图24中的步骤S51～S53分别与图12的步骤S11～S53相同。

接着，在步骤S54中，服务器30基于从车辆10的软件更新装置14接收到的车辆结构同步信息1411参考活动管理表313，确认对于该车辆10的在后CP是否存在。接着，在步骤S55中，服务器30在步骤S55中判断为在后CP存在的情况下，对软件更新装置14通知从活动管理表313读取的在后CP的活动信息。

接着，在步骤S56中，软件更新装置14从服务器30收到在后CP的活动信息的通知时，确认车辆10中的在先CP的更新状态和活动信息。此时，软件更新装置14参照在先CP的活动信息1412，确认在先CP的优先级、和在先CP和在后CP之间的CP采用的顺序依赖性是否存在。

接着，在步骤S57中，软件更新装置14基于步骤S56中确认的在先CP和在后CP的优先级、在先CP的更新状态和对于在先CP的在后CP的CP采用的顺序依赖性，判断是否进行在先CP的采用中断和在后CP的采用开始。此处，步骤S57的判断逻辑与图12所示的步骤S15相同，其详情如图13所示。

以下，步骤S58～S64是步骤S57中判断为在先CP的优先级<在后CP的优先级(图24的例子中在先CP的优先级是“中/低”，在后CP的优先级是“高”)、在先CP的更新状态是DL中、在后CP不存在对于在先CP的CP采用的顺序依赖性的情况下的处理。

在步骤S58中，软件更新装置14中断在先CP的DL。接下来的步骤S59～S62与图12的步骤S19～S22相同。

接着，在步骤S63中，软件更新装置14与基于从HMI16接收到的操作信息得到的允许结果一同地、将在后CP的更新PKG的生成请求发送至服务器30。接着，在步骤S64中，服务器30、软件更新装置14、ECU1～3、HMI16执行与图12的步骤S24同样的DL中的在后CP采用序列(车辆结构同步)。

以下，步骤S65～S71是步骤S57中判断为在先CP的优先级<在后CP的优先级(图24的例子中在先CP的优先级是“中/低”，在后CP的优先级是“高”)、在先CP的更新状态是安装中、在后CP不存在对于在先CP的CP采用的顺序依赖性的情况下的处理。

在步骤S65中，软件更新装置14中断对安装处理中的ECU1、2、3进行的在先CP的安装。接下来的步骤S66～S70与步骤S59～S63相同。接着，在步骤S71中，服务器30、软件更新装置14、ECU1～3、HMI16执行与图12的步骤S33同样的安装中的在后CP采用序列(车辆结构同步)。

另外，步骤S72和步骤S73分别与图12所示的步骤S34和步骤S35相同。

根据实施方式3，软件更新装置14判断是否中断车辆10中的在先CP的采用并进行在后CP的采用，所以能够使服务器30的判断处理的负荷分散减轻，迅速地进行在先CP的中断判断和重要的在后CP的采用。

[实施方式4]

实施方式1～3中，车辆10在IG-OFF时停止TCU15的动作，不能继续更新PKG的采用处理。另一方面，设想车辆10是电动车的情况下，即使IG-OFF，TCU15也工作，能够继续更新PKG的采用处理的状况。本实施方式中，对于车辆10是电动车的情况，说明以下模式1～3的更新PKG的采用处理。另外，电动车中，IG-ON/OFF指的是Power-ON/OFF。

(模式1)

实施方式4的模式1中，在电动车的Power-OFF状态下在DL在先CP过程中追加了高优先级的在后CP的情况下，中断并丢弃在先CP的DL，开始在后CP的DL并使其完成。然后，在在后CP的DL结束时暂时使处理停止。然后，在Power-ON之后，从在后CP的存储器双面的ECU的安装起继续。

使用表示实施方式1中的DL中的在后CP采用序列(车辆结构同步契机)的详细例的图15对于实施方式4的模式1进行说明。模式1中，在DL在先CP过程中追加了高优先级的在后CP的情况下，即使在电动车的Power-OFF状态下，也在使图15的步骤S2401～S2410完成之后，使处理暂时停止。然后，在处理暂时停止后，在Power-ON时，从步骤S2411的存储器双面的ECU的安装起继续，执行此后的步骤S2412～S2416。

(模式2)

实施方式4的模式2中，在电动车的电池充电中安装在先CP过程中追加了高优先级的在后CP的情况下，即使在Power-OFF状态下，也中断在先CP的安装并丢弃数据，开始在后CP的DL并使安装完成。然后，在在后CP的安装结束时暂时使处理停止。然后，在IG-ON之后，从激活(包括存储器单面的ECU的安装)起继续。

使用表示实施方式1中的安装中的在后CP采用序列(车辆结构同步契机)的详细例的图16对于模式2进行说明。模式2中，即使在电动车的Power-OFF状态下，使图16的步骤S3301～S3313完成之后，使处理暂时停止。然后，在处理暂时停止之后，在Power-ON时，从步骤S3314的激活(包括存储器单面的ECU的安装)起继续，执行此后的步骤S3315～S3316。

(模式3)

另外，在模式2中，也可以与开始在后CP的DL并使安装完成一同地使存储器单面的安装也完成。将其称为实施方式4的模式3。然后，在在后CP的安装和存储器单面的安装结束时使处理暂时停止。然后，在Power-ON时，在取得用户的更新采用允许之后，执行激活(仅切换有效面)，由此能够迅速地进行激活。

另外，以上说明了使实施方式4的模式1～3与实施方式1组合的例子，但也能够同样地与实施方式2和3组合。

根据实施方式4，在电动车中，对于以Power-OFF为契机使处理暂时停止的在后CP的采用，能够在以Power-ON为契机继续之后迅速地使其完成。

以上对于本发明的实施方式进行了说明，但本发明不限定于上述实施方式，包括各种变形例。例如，上述实施方式是为了易于理解地说明本发明而详细说明的，并不限定于必须具备说明的全部结构。另外，对于以表形式为例说明的各信息，也可以省略一部分信息或追加其他信息。另外，能够将某个实施方式的结构的一部分置换为其他实施方式的结构，也能够在某个实施方式的结构上添加其他实施方式的结构。另外，对于各实施方式的结构的一部分，能够进行结构的追加、删除、置换、合并、或分散。另外，对于实施方式中示出的各结构和各处理，也可以基于处理效率或安装效率适当地分散或合并。

附图标记说明

1、2、3：ECU，1a、1b、2a、2b、3a、3b、4a：存储器面，10：车辆，14：软件更新装置，15：TCU，20：网络，30：服务器，31：存储部，32：控制部，33：通信部，100：软件更新系统，141：存储部，142：更新控制部，313：活动管理表，314：车辆SW更新管理表，315、1413：更新包，325：更新包生成部，326：SW更新序列控制部，1411：车辆结构同步信息，1412：活动信息。

Claims (13)

1.一种服务器，其能够经由网络与用于更新车辆中搭载的车载控制装置的软件的软件更新装置进行通信，具有管理对所述车载控制装置的软件更新的采用的控制部，所述服务器的特征在于：

所述控制部，

当在对所述车载控制装置采用在先的第一软件更新的过程中向所述服务器登记了要对所述车载控制装置采用的在后的第二软件更新时，

基于关于所述第一软件更新的采用的信息、关于所述第二软件更新的采用的信息、以及对所述车载控制装置的所述第一软件更新的更新处理状态，来对所述车载控制装置判断是否中断所述第一软件更新的采用而开始所述第二软件更新的采用。

2.如权利要求1所述的服务器，其特征在于：

所述第一软件更新的更新处理状态至少包括：正在从所述服务器将所述第一软件更新下载至所述车辆的状态、正在对所述车载控制装置安装已下载的所述第一软件更新的状态、正在等待激活已安装的所述第一软件更新的状态、以及正在激活所述第一软件更新的状态。

3.如权利要求2所述的服务器，其特征在于：

关于所述第一软件更新的采用的信息和关于所述第二软件更新的采用的信息，各自包含是否存在各软件更新的采用优先级和采用组合制约的信息。

4.如权利要求3所述的服务器，其特征在于：

所述采用组合制约是关于各软件更新的采用顺序的采用顺序制约，

所述控制部，

在与所述第一软件更新相比所述第二软件更新的采用优先级高的情况下，当所述第一软件更新的更新状态是所述正在进行安装的状态且不存在所述采用顺序制约时，对于所述车载控制装置，判断为中断所述第一软件更新的采用而开始所述第二软件更新的采用。

5.如权利要求4所述的服务器，其特征在于：

所述控制部，

在与所述第一软件更新相比所述第二软件更新的采用优先级高的情况下，当所述第一软件更新的更新处理状态是所述正在等待激活的状态且不存在所述采用顺序制约时，对于所述车载控制装置，判断为中断所述第一软件更新的采用而开始所述第二软件更新的采用。

6.如权利要求5所述的服务器，其特征在于：

所述控制部，

在与所述第一软件更新相比所述第二软件更新的采用优先级高的情况下，当所述第一软件更新的更新处理状态是所述正在等待激活的状态且不存在所述采用顺序制约时，对于所述车载控制装置，判断为中断所述第一软件更新的采用而开始所述第二软件更新的采用，生成包括关于所述第二软件更新的软件的更新包，此时，以已安装在安装了所述第一软件更新的所述车载控制装置的存储器中的软件为基准，基于所述采用顺序制约和所述存储器的面数，来将包含是否要对所述存储器安装软件和是否要切换所述存储器的有效面的信息的更新指示信息包括在所述更新包中。

7.如权利要求5所述的服务器，其特征在于：

所述控制部，

在所述第一软件更新的更新处理状态是所述正在进行激活的状态的情况下，对于所述车载控制装置，判断为继续所述第一软件更新的采用。

8.如权利要求7所述的服务器，其特征在于：

所述控制部，

在所述第一软件更新的更新处理状态是所述正在进行下载的状态、所述正在进行安装的状态和所述正在等待激活的状态中的任一者且存在所述采用顺序制约的情况下，对于所述车载控制装置，判断为继续所述第一软件更新的采用。

9.如权利要求8所述的服务器，其特征在于：

所述控制部，

在所述第一软件更新的更新处理状态是所述车辆的点火开关关断操作后的所述正在等待激活的状态且不存在所述采用顺序制约，并且所述第一软件更新的进行所述激活的处理所需的估算时间大于规定值的情况下，对于所述车载控制装置，判断为中断所述第一软件更新的采用而开始所述第二软件更新的采用，

在所述估算时间在规定值以下的情况下，对于所述车载控制装置，判断为继续所述第一软件更新的采用。

10.如权利要求9所述的服务器，其特征在于：

所述控制部，

以所述车辆的点火开关接通为契机，对于所述车辆控制装置，判断是否中断所述第一软件更新的采用而开始所述第二软件更新的采用。

11.如权利要求9所述的服务器，其特征在于：

所述控制部，

以对所述服务器登记所述第二软件更新为契机，对于所述车辆控制装置，判断是否中断所述第一软件更新的采用而开始所述第二软件更新的采用。

12.一种软件更新系统，包括车辆中搭载的车载控制装置和用于更新所述车载控制装置的软件的软件更新装置，以及能够经由网络与所述软件更新装置进行通信并管理对所述车载控制装置的软件更新的采用的服务器，所述软件更新系统的特征在于：

所述服务器，

当在对所述车载控制装置采用在先的第一软件更新的过程中向所述服务器登记了要对所述车载控制装置采用的在后的第二软件更新时，

基于关于所述第一软件更新的采用的信息、关于所述第二软件更新的采用的信息、以及对所述车载控制装置的所述第一软件更新的更新处理状态，来对所述车载控制装置判断是否中断所述第一软件更新的采用而开始所述第二软件更新的采用，

所述软件更新装置，

在由所述服务器判断为中断所述第一软件更新的采用而开始所述第二软件更新的采用的情况下，对于所述车载控制装置，中断所述第一软件更新的采用而开始所述第二软件更新的采用。

13.一种搭载在车辆中的软件更新装置，能够经由网络与管理对所述车辆中搭载的车载控制装置的软件的采用的服务器进行通信，具有用于更新所述车载控制装置的软件的更新控制部，所述软件更新装置的特征在于：

所述更新控制部，

当在对所述车载控制装置采用在先的第一软件更新的过程中向所述服务器登记了要对所述车载控制装置采用的在后的第二软件更新时，

基于关于所述第一软件更新的采用的信息、关于所述第二软件更新的采用的信息、以及对所述车载控制装置的所述第一软件更新的更新处理状态，来对所述车载控制装置判断是否中断所述第一软件更新的采用而开始所述第二软件更新的采用，

在判断为中断所述第一软件更新的采用而开始所述第二软件更新的采用的情况下，对所述车载控制装置中断所述第一软件更新的采用而开始所述第二软件更新的采用。

Images