CN113849204A - 服务器、更新管理方法、存储装置及软件更新装置、中心以及ota主机 - Google Patents

Abstract

服务器包括：第一存储部，其存储前提条件信息，所述前提条件信息包含搭载于车辆的电子控制单元的软件的更新被执行时所述车辆应当满足的一个以上的前提条件；以及通信部，其配置为，根据来自所述车辆的请求向所述车辆发送所述前提条件信息。

Description

服务器、更新管理方法、存储装置及软件更新装置、中心以及 OTA主机

技术领域

本公开涉及服务器、更新管理方法、存储设备(非易失性存储介质)、软件更新装置、中心以及OTA主机。

背景技术

在车辆上搭载有用于控制车辆的动作的多个电子控制单元(ECU)。ECU具备处理器、RAM那样的临时存储部、闪存ROM那样的非易失性存储部，通过由处理器执行存储在非易失性存储部中的软件来实现ECU的控制功能。各ECU存储的软件可以改写，通过更新为更新的版本的软件，可以改善各ECU的功能，或追加新的车辆控制功能。

ECU的软件能够在整修工厂等中使用经由设置在车辆上的诊断用连接器而连接的外部设备来进行更新，但除此之外，还有如下方法：以无线方式连接车载网络所具备的通信设备和互联网等通信网络，经由无线通信从设置在中心的服务器向车辆下载更新程序，并利用下载的程序进行更新。

例如，在日本特开2020-004245中记载了能够经由无线通信从设置在中心的程序提供装置取得控制程序并进行更新的程序更新装置。根据日本特开2020-004245中记载的程序更新装置，在进行车辆的控制装置的控制程序的写入之前，对车辆的控制装置进行检查，事先判定是否能够正常地进行控制程序的更新。作为具体的检查项目，例示了电池的余量、天气、停车位置、程序更新功能的正常性。

发明内容

日本特开2020-004245中记载的程序更新装置在更新车辆的程序时，基于从电池余量、汽车导航系统取得的信息是否满足预先确定的条件，判定是否能够执行程序的更新处理。

但是，考虑到搭载在车辆上的电池的容量、汽车导航系统等装备的有无会根据车型、级别、配置的选择状况等而不同。若不追加考虑车辆的构成，而统一设定软件的更新时车辆应满足的前提条件，则有可能由于设定的前提条件与车辆的实际构成不符，而产生软件不被适时地更新的情况。

因此，本公开提供了一种服务器、更新管理方法、存储装置(非易失性存储介质)及软件更新装置、中心以及OTA主机，其能够根据车辆的构成等控制软件更新的执行。

本公开的第一方式涉及的服务器包括：第一存储部，其存储前提条件信息，所述前提条件信息包含搭载于车辆的电子控制单元的软件的更新被执行时所述车辆应当满足的一个以上的前提条件；以及通信部，其配置为，根据来自所述车辆的请求向所述车辆发送所述前提条件信息。

本公开的第二方式涉及的更新管理方法是由具备处理器、存储器、存储装置的计算机执行的方法。所述更新管理方法包括：将前提条件信息存储于所述存储装置，所述前提条件信息包含搭载于车辆的电子控制单元的软件的更新执行时所述车辆应当满足的一个以上的前提条件；以及根据来自所述车辆的请求，向所述车辆发送所述前提条件信息。

本公开的第三方式涉及的存储装置存储程序，所述程序能够由计算机执行，并且所述程序使具备处理器、存储器、存储装置的所述计算机执行第二方式的更新管理方法。

本公开的第四方式涉及的软件更新装置包括：通信部，其配置为从服务器接收前提条件信息，所述前提条件信息包含搭载于车辆的电子控制单元的软件的更新执行时所述车辆应当满足的一个以上的前提条件；以及控制部，其配置为，判定所述通信部获取到的所述前提条件信息中包含的所述前提条件是否被满足，并且，如果判定为全部所述前提条件都被满足，则执行所述电子控制单元的软件的更新。

本公开的第五方式涉及的中心包括：第一存储部，其存储前提条件信息，所述前提条件信息包含搭载于车辆的电子控制单元的软件的更新执行时所述车辆应当满足的一个以上的前提条件；以及通信部，其配置为，根据来自所述车辆的请求向所述车辆发送所述前提条件信息。

本公开的第六方式涉及的OTA主机包括：通信部，其配置为从中心接收前提条件信息，所述前提条件信息包含搭载于车辆的电子控制单元的软件的更新执行时所述车辆应当满足的一个以上的前提条件；以及控制部，其配置为，判定所述通信部获取到的所述前提条件信息中包含的所述前提条件是否被满足，并且，如果判定为全部所述前提条件都被满足，则执行所述电子控制单元的软件的更新。

根据本公开，可以提供能够根据车辆的构成等控制软件更新的执行的服务器、更新管理方法、存储装置(非易失性存储介质)及软件更新装置、中心以及OTA主机。

附图说明

以下，参考附图，说明本发明的示例性实施方式的特征、优点以及技术和工业意义，在附图中，相同的附图标记表示相同的元件。

图1是表示实施方式涉及的网络系统的整体构成的框图。

图2是表示图1所示的服务器的概要构成的框图。

图3是表示图1所示的软件更新装置的概要构成的框图。

图4是图1所示的服务器的功能框图。

图5A是表示图1所示的服务器进行存储的前提条件信息的一个例子的图。

图5B是表示图1所示的服务器进行存储的前提条件信息的另一个例子的图。

图6是表示图1所示的服务器所存储的错误信息的一个例子的图。

图7是图1所示的软件更新装置的功能框图。

图8是表示实施方式涉及的服务器所执行的控制处理的一个例子的流程图。

图9是表示实施方式涉及的软件更新装置所执行的控制处理的一个例子的流程图。

具体实施方式

图1是表示实施方式涉及的网络系统的整体构成的框图，图2是表示图1所示的服务器的概要构成的框图，图3是表示图1所示的软件更新装置的概要构成的框图。

图1所示的网络系统是用于更新搭载于车辆的电子控制单元13a～13d的软件的系统，具备服务器(中心)1和搭载于车辆的车载网络2。

服务器1能够经由网络5与搭载于车辆的软件更新装置11进行通信，对是否存在搭载于车辆的电子控制单元13a～13d的更新数据、软件更新装置11进行的软件更新处理有关的信息进行管理。

如图2所示，服务器1具备CPU 21(一个或多个处理器)、RAM 22、存储装置23和通信装置24。存储装置23具备硬盘、SSD等可读写的存储介质，存储用于执行软件的更新管理的软件、后述的前提条件信息、错误信息。在服务器1中，CPU 21通过将RAM 22用作工作区域来执行从存储装置23读取的软件，从而执行后述的控制处理。通信装置24是用于经由互联网等网络5与软件更新装置11进行通信的设备。

车载网络2具备软件更新装置11(OTA主机)、通信模块12、多个电子控制单元13a～13d以及显示装置14。软件更新装置11经由总线15a与通信模块12连接，经由总线15b与电子控制单元13a及13b连接，经由总线15c与电子控制单元13c及13d连接，经由总线15d与显示装置14连接。软件更新装置11能够经由通信模块12以及网络5以无线(Over-The-Air)的方式与服务器1进行通信，基于从服务器1取得的更新数据以及后述的前提条件信息，控制电子控制单元13a～13d中作为更新对象的设备的软件更新。软件更新装置11有时也被称为中央网关。通信模块12是连接车载网络2和设置在中心的服务器1的通信装置。电子控制单元13a～13d是控制车辆的各部分的动作的ECU，具备CPU、RAM、闪速存储器或EEPROM等非易失性的存储装置，CPU通过将RAM用作工作区域来执行存储在存储装置中的软件，从而执行控制功能。显示装置14(HMI)用于在电子控制单元13a～13d的软件的更新处理时，进行存在更新数据这一内容的显示、对用户请求软件更新的批准请求的显示、更新结果的显示等各种显示。作为显示装置14，典型地可以使用汽车导航系统的显示装置，但只要是能够显示软件的更新处理时所需的信息的装置即可，没有特别限定。另外，在图1中例示了4个电子控制单元13a～13d，但电子控制单元的数量没有特别限定。另外，也可以将图1所示的总线15d还与显示装置14以外的电子控制单元连接。

如图3所示，软件更新装置11具备微型计算机35和通信装置36，该微型计算机35具备CPU31(一个或多个处理器)、RAM32、ROM33和存储装置34。在软件更新装置11中，微型计算机35的CPU31通过将RAM32用作工作区域来执行从ROM33读取的软件，从而执行后述的控制处理。通信装置36是经由图1所示的总线15a～15d与通信模块12、电子控制单元13a～13d、显示装置14进行通信的设备。

图4是图1所示的服务器的功能框图，图5A以及图5B是表示图1所示的服务器所存储的前提条件信息的一个例子的图，图6是表示图1所示的服务器所存储的错误信息的一个例子的图。

服务器1具备第一存储部26、第二存储部27、通信部28和控制部29。第一存储部26和第二存储部27通过图2所示的存储装置23来实现，通信部28和控制部29通过由图2所示的CPU 21使用RAM 22执行存储在存储装置23中的软件来实现。

第一存储部26存储前提条件信息。前提条件信息是对在车辆中更新电子控制单元13a～13d中的某一个的软件时车辆应当满足的前提条件进行定义的信息。图5A和图5B表示前提条件信息的例子。

图5A所示的前提条件信息是将识别车辆的车辆ID、与在由该车辆ID确定的车辆中由软件更新装置11执行软件更新处理时由该车辆ID确定的车辆应当满足的条件建立关联而得的信息。车辆ID只要是能够唯一地识别车辆的信息即可，例如是车辆识别编号(VIN)或底盘编号。可以对一个车辆ID设定一个以上的前提条件。在图5A的例子中，对车辆ID“VID_1001”设定有两个前提条件，对车辆ID“VID_2001”设定有三个前提条件。对每个车辆ID设定的前提条件的种类以及数量能够根据由该车辆ID确定的车辆的级别、装备、配置的有无而变更。

图5B所示的前提条件信息是将识别车型的车型ID、与在由该车型ID确定的车辆中由软件更新装置11执行软件更新处理时由该车型ID确定的车辆应当满足的前提条件建立关联而得的信息。车型ID典型地是表示型号的信息，但只要是能够唯一地识别车辆的型号的信息即可，也可以通过车辆识别编号(VIN)、底盘编号中包含的信息的一部分或多部分的组合来表示。在图5B的例子中，也能够对每个车型ID设定一个以上的前提条件。

在此，对执行软件更新处理时车辆应当满足的前提条件的具体例进行说明。作为前提条件的例子，可以举出电池余量、DC-DC转换器的动作状态、作为更新对象的电子控制单元中的错误的发生状况、特定的传感器或附件的搭载状况、作为更新对象的电子控制单元的功能的有效性、档位、车速、GPS坐标等。电池余量以及DC-DC转换器的动作状态是要求执行软件更新处理所需的电力得到确保的条件，可以将能够供给软件更新处理所需的电力以及车辆的其他功能维持所需的电力的电池余量的值、从驱动用电池向辅助电池进行电力供给的DC-DC转换器处于动作中定义为条件。作为更新对象的电子控制单元中的错误的发生状况是要求在更新对象的电子控制单元中未产生妨碍软件更新处理的执行的错误(例如，电子控制单元自身的动作不良、数据存储区域的容量不足或不能访问数据存储区域)的条件。特定的传感器或附件的搭载状况是要求作为更新对象的电子控制单元进行动作所需的传感器或附件等设备搭载在车辆上的条件。作为更新对象的电子控制单元的功能的有效性是要求用户设定使用作为更新对象的电子控制单元的功能的条件。档位、车速、GPS坐标是要求在执行软件更新处理时车辆处于安全状态的条件，具体而言，能够定义档位为P档、车速为0km/h、当前的GPS坐标在停车场或可停车区域等公共道路上以外的坐标范围内。另外，所说明的前提条件是例示，也可以定义其他的前提条件。另外，前提条件可以用是否满足特定的阈值、数值范围、条件的二值等表示。

如图5A所示，在对每个车辆定义前提条件信息的情况下，能够根据每个车辆的装备或用户设定等，详细设定软件更新处理所需的条件。另一方面,如图5B所示,在对每个车型定义前提条件信息的情况下,能够根据电池容量、所搭载的传感器类等车型之间的装备的差异,以适合于每个车型的方式设定软件更新处理所需的条件。

第二存储部27存储错误信息。错误信息是在发送给软件更新装置11的前提条件信息中包含的前提信息中，确定在软件更新装置11的软件更新处理开始前或执行中被软件更新装置11判定为不满足的前提条件的信息。错误信息是将识别车辆的车辆ID与在软件更新处理时成为错误的前提条件建立关联而得的信息。错误信息也可以包含由于不满足前提条件而成为错误的日期时间的信息。存储在第二存储部27中的错误信息能够作为用于确定未正常执行软件更新处理的原因、或者针对每个车辆进行软件更新处理所需的个别应对的信息来利用。

通信部28根据来自软件更新装置11的请求，从第一存储部26取得适用于该软件更新装置11的前提条件信息，并将取得的前提条件信息发送给软件更新装置11。另外，通信部28从软件更新装置11接收错误信息，该错误信息包含被发送到软件更新装置11的前提条件信息中包含的全部前提条件信息中的、在软件更新处理时被软件更新装置11判定为不满足的前提条件。通信部28将接收到的错误信息针对每个车辆存储在上述第二存储部27中。另外，通信部28承接从软件更新装置11发送的各种请求(后述的软件的更新确认请求、前提条件信息的发送请求)。

控制部29根据从软件更新装置11接收到的错误信息，设定与错误信息对应的车辆的前提条件。作为基于错误信息设定前提条件的例子，考虑暂时放宽车辆应当满足的前提条件的一部分。例如，假定作为软件的更新时车辆应当满足的前提条件而设定了电池余量的情况。作为前提条件而设定的电池余量(r1)被设定为在软件更新处理或车辆的功能维持所需的最低限度的余量(r0)上加上一定的裕量后的值。在由于不满足电池余量的前提条件而成为错误从而未进行软件更新的情况下，通过将作为前提条件的电池余量设定为比最低限度的余量(r0)高且比当初设定的电池余量(r1)低的值，能够消除错误并及时地进行软件更新。

图7是图1所示的软件更新装置的功能框图。

软件更新装置11具备通信部37、存储部38和控制部39。通信部37以及控制部39通过由图3所示的CPU31使用RAM32执行ROM33中存储的软件来实现，存储部38通过图3所示的存储装置34来实现。

通信部37在车辆的电源或点火装置被接通时等规定的定时，向服务器1发送用于确认是否存在电子控制单元13a～13d的软件的更新数据的确认请求，并接收服务器1中的确认结果(表示是否存在更新数据的信息)。另外，通信部37向服务器1发送分发包的下载请求，接收从服务器1发送的分发包。从服务器1发送的分发包包含用于作为更新对象的一个以上的电子控制单元的软件更新的更新数据、和上述前提条件信息。分发包可以包含用于验证更新数据的真实性的验证用数据、更新数据的数量、安装顺序、软件更新时使用的各种控制信息等。通信部37将接收到的分发包存储在存储部38中。通信部37验证接收到的更新数据的真实性。另外，通信部37将由后述的控制部39生成的错误信息发送到服务器1。

存储部38存储由通信部37从服务器1接收到的分发包。

控制部39控制搭载有软件更新装置11的车辆中的电子控制单元13a～13d的软件更新。

控制部39参照由通信部37从服务器1接收到的分发包中包含的前提条件信息，判定前提条件信息中包含的前提条件是否被满足。控制部39从经由总线15b以及15c连接的电子控制单元13a～13d取得与车辆状态相关的信息，并基于所取得的信息来判定前提条件信息中包含的前提条件是否被满足。作为与车辆状态相关的信息，可举出电池余量、DC-DC转换器的动作状态、在电子控制单元13a～13d的每一个中发生的错误、与电子控制单元13a～13d连接的传感器或附件等设备的有误或动作状态、档位、车速、GPS坐标等。

控制部39在判定为前提条件信息中包含的全部前提条件都被满足的情况下，执行作为更新对象的电子控制单元的安装以及激活。另外，作为更新对象的电子控制单元能够根据分发包中包含的信息(与更新数据建立了关联的电子控制单元的识别信息等)来确定。

在此，软件更新处理包括：从服务器1向车辆发送更新数据的下载、将下载的更新数据传送到作为更新对象的电子控制单元并向作为更新对象的电子控制单元的存储区域写入更新数据的安装、以及使在作为更新对象的电子控制单元中安装的更新程序有效化的激活这三个阶段。

下载是接收并存储从服务器1发送的用于更新电子控制单元的软件的更新数据的处理。在下载的阶段中，不仅包含更新数据的接收，还包含下载的执行能否判断、更新数据的验证等与下载相关的一系列处理的控制。安装是基于下载的更新数据，将更新版本的程序(更新软件)写入作为更新对象的电子控制单元的车载设备的存储部的处理。在安装阶段中，不仅包含安装执行，还包含安装的执行能否判断、更新数据的传送以及更新版本的程序的验证等与安装相关的一系列处理的控制。激活是将所安装的更新版本的程序有效化(激活)的处理。进行激活的控制不仅包含激活执行，还包含激活的执行能否判断和执行结果的验证等与激活相关的一系列控制。

从服务器1发送到软件更新装置11的更新数据可以包含电子控制单元的更新软件、压缩更新软件而得的压缩数据、分割更新软件或压缩数据而得的分割数据中的任一种。另外，更新数据也可以包含识别作为更新对象的电子控制单元的标识符(ECU ID)和识别更新前的软件的标识符(ECU软件ID)。更新数据作为上述分发包被下载，分发包中包含单个或多个电子控制单元的更新数据。

在更新数据包含更新软件本身的情况下，在安装阶段，软件更新装置将更新数据(更新软件)传送到作为更新对象的电子控制单元。另外，在更新数据包含更新软件的压缩数据、差分数据或分割数据的情况下，可以由软件更新装置11向作为更新对象的电子控制单元传送更新数据，并由作为更新对象的电子控制单元根据更新数据生成更新软件，也可以由软件更新装置11根据更新数据生成更新软件后，向作为更新对象的电子控制单元传送更新软件。这里，更新软件的生成可以通过压缩数据的解压缩、差分数据或分割数据的组合来进行。

更新软件的安装可以基于来自软件更新装置11的安装请求，由作为更新对象的电子控制单元进行。或者，也可以由接收到更新数据的作为更新对象的电子控制单元在未接收到来自软件更新装置11的明示的指示的情况下自主地进行安装。

更新软件的激活可以基于来自软件更新装置11的激活要求，由作为更新对象的电子控制单元进行。或者，也可以由接收到更新数据的作为更新对象的电子控制单元在未接收到来自软件更新装置11的明示的指示的情况下自主地进行激活。

另外，软件的更新处理能够对多个电子控制单元的每一个连续或并行地进行。

当控制部39判定为前提条件信息中包含的全部前提条件都被满足时，控制部39将接收到的一个以上的更新数据传送到作为更新对象的电子控制单元，由作为更新对象的电子控制单元进行更新数据的安装。当安装完成时，控制部39向作为更新对象的电子控制单元请求更新后的软件的激活，由作为更新对象的电子控制单元进行激活。另外，在电子控制单元的存储装置中设置的软件的存储区域仅为一个的情况下，连续地进行安装和激活。通过由控制部39进行以上的控制处理，作为更新对象的电子控制单元的软件更新完成。

另外，本说明书中的“软件更新处理”不仅包含连续地进行全部的下载、安装、激活的处理，还包含仅进行下载、安装、激活的一部分的处理。

以下，说明服务器1以及软件更新装置11所执行的控制处理。

图8是表示实施方式涉及的服务器所执行的控制处理的一个例子的流程图。图8所示的控制处理在服务器1中例如以规定的时间间隔反复执行。

在步骤S1中，通信部28判定是否从软件更新装置11承接了更新数据的有无的确认请求。在步骤S1的判定为“是”的情况下，处理进入步骤S2，在除此以外的情况下，处理进入步骤S3。

在步骤S2中，通信部28判定是否存在搭载有发送了确认请求的软件更新装置11的车辆的更新数据，并将表示更新数据的有无的信息发送给软件更新装置11。更新数据的有无可以根据存储在存储装置23或与服务器1连接的其他服务器中的管理信息来判定。之后，处理进入步骤S3。

在步骤S3中，通信部28判定是否从软件更新装置11接收到分发包的下载请求。在步骤S3的判定为“是”的情况下，处理进入步骤S4，在除此以外的情况下，处理进入步骤S5。

在步骤S4中，通信部28生成包含用于更新发送了下载请求的车辆的电子控制单元的软件的更新数据和与该车辆对应的前提条件信息的分发包，并将生成的分发包发送到软件更新装置11。之后，处理进入步骤S5。

在步骤S5中，通信部28判定是否从软件更新装置11接收到了错误信息。在步骤S5的判定为“是”的情况下，处理进入步骤S6，在除此以外的情况下，处理进入步骤S7。

在步骤S6中，通信部28将接收到的错误信息存储在第二存储部27中。之后，处理进入步骤S7。

在步骤S7中，控制部29根据存储在第二存储部27中的错误信息，对存储在第一存储部26中的前提条件信息进行设定(更新)。另外，在图8的例子中，以规定的周期定期执行基于错误信息的前提条件信息的设定，但也可以在被中心的操作员或销售店的整修人员等指示时，基于错误信息进行前提条件信息的设定处理。之后，处理进入步骤S1。

图9是表示实施方式涉及的软件更新装置所执行的控制处理的一个例子的流程图。图9所示的控制处理例如是以车辆的电源或点火装置被接通为契机而开始的处理。

在步骤S11中，通信部37向服务器1发送请求确认是否存在与软件更新装置11连接的电子控制单元13a～13d的更新数据的确认请求。之后，处理进入步骤S12。

在步骤S12中，通信部37接收从服务器1取得的确认结果。之后，处理进入步骤S13。

在步骤S13中，控制部39根据从服务器1取得的确认结果，判定是否存在更新数据。在步骤S13的判定为“是”的情况下，处理进入步骤S14，在除此以外的情况下，结束处理。

在步骤S14中，通信部37执行下载处理。更详细地说，通信部37向服务器1发送分发包的下载请求，接收响应下载请求而发送的分发包，并将接收到的分发包存储在存储部38中。通信部37验证接收到的分发包中包含的更新数据的真实性。在步骤S14中，也可以进行下载的执行能否的判定、或对服务器1进行下载已完成这一情况的通知。之后，处理进入步骤S15。

在步骤S15中，控制部39判定从服务器1取得的前提条件信息中包含的全部前提条件是否都被满足。在步骤S15中，在判定为全部前提条件都被满足的情况下，处理进入步骤S16，在除此以外的情况下，进入步骤S18。

在步骤S16中，控制部39对作为更新对象的电子控制单元执行安装处理以及激活处理。步骤S16的安装处理包括向用户请求安装的批准并承接批准的输入的处理、更新数据从软件更新装置11向作为更新对象的电子控制单元的传送、向作为更新对象的电子控制单元的安装请求、向作为更新对象的电子控制单元的安装的验证请求等。作为更新对象的电子控制单元使用从软件更新装置11接收到的更新数据将更新版本的软件安装在存储区域中。激活处理包括向用户请求激活的批准、承接批准的输入的处理、对作为更新对象的电子控制单元的激活请求等。作为更新对象的电子控制单元通过将执行对象的软件切换为更新版本的软件，来使更新版本的软件有效化而启动。之后，处理进入步骤S17。

在步骤S17中，控制部39判定软件更新处理是否完成。在步骤S17的判定为“是”的情况下，结束处理，在除此以外的情况下，处理进入步骤S19。

在步骤S18中，控制部39判定自首次进行步骤S15的判定的时刻起是否经过了规定时间。即使在步骤S15的判定时并非全部前提条件被满足的情况下，也考虑不满足的前提条件在事后被满足的情况。例如，假设虽然在步骤S15的判定时不满足“档位为P档”这样的一个前提条件，但用户立即将档位切换为P档的情况。在这种情况下，基于步骤S15的判定，不作为错误(即，由于并非全部前提条件被满足，所以无法执行安装和激活)来处理，而是在全部前提条件都被满足时执行安装和激活，这被认为有利于用户的便利性。因此，在本实施方式中，设置步骤S18，在自步骤S15的首次判定起未经过规定时间的期间，反复进行步骤S15的前提条件的判定。在步骤S18的判定为“是”的情况下，处理进入步骤S21，在除此以外的情况下，处理进入步骤S15。另外，在步骤S18的判定为“否”的情况下，也可以在进入步骤S15之前待机规定的间隔时间。

在步骤S19中，控制部39判定从服务器1取得的前提条件信息中包含的全部前提条件是否都被满足。步骤S19中的判定处理是用于确认在步骤S16中开始安装和激活之后全部前提条件继续被满足的处理。在步骤S19中判定为并非全部前提条件被满足的情况下，处理进入步骤S20，在除此以外的情况下，处理进入步骤S17。

在步骤S20中，控制器39中断安装和激活。之后，处理进入步骤S21。

在步骤S21中，通信部37生成包含在步骤S19中由控制部39判定为不满足的前提条件的错误信息，并将生成的错误信息发送到服务器1。之后，结束处理。

如上所述，本实施方式涉及的服务器1保持在软件更新时车辆应当满足的前提条件，根据来自软件更新装置11的请求发送前提条件。因此，能够根据车辆的构成来设定在软件更新时车辆应当满足的前提条件。作为具体例，有电池容量相对较大型号A的车辆和电池容量相对较小的型号B的车辆，假设作为软件更新的前提条件而设定相同的SOC值(电池余量)的情况。在这种情况下，由于型号A的车辆的电池容量大，因此即使SOC值低于作为前提条件而设定的SOC值，实际上也有可能在电池中残留有足以执行软件更新处理的电力。在这种情况下，由于为型号A和型号B设定了统一的前提条件，考虑有型号A的软件更新处理不被适时地执行的情况。在本实施方式中，能够在服务器1中对每个车辆或每个型号设定软件更新处理的前提条件，根据来自软件更新装置11的下载请求发送前提条件信息，所以能够在服务器1侧集中管理软件更新处理所需的前提条件，还能够适当变更前提条件。

另外，服务器1在软件更新处理时，能够将由软件更新装置11判定为不满足的前提条件作为错误信息而针对每个车辆进行储存，所以能够在服务器1中管理各车辆中的软件更新时的错误的发生状况，还能够根据错误信息，对每个车辆进行个别的应对(个别的软件更新处理)。

另外，本实施方式涉及的软件更新装置11从服务器1取得在软件更新处理时应当满足的前提条件，在满足所取得的前提条件的情况下进行软件更新处理。因此，能够根据车辆的构成，在服务器1中设定在软件更新时车辆应当满足的前提条件。

另外，软件更新装置11能够将被判定为在软件更新处理时不满足的前提条件作为错误信息发送到服务器，因此能够将车辆中的软件更新处理时的错误状况汇集到服务器1中。

另外，软件更新装置11在软件更新处理开始后不满足某个前提条件的情况下，中断软件更新，因此能够防止软件更新处理在不适当的条件下继续。

另外，软件更新装置11即使在判定为并非软件更新处理时所需的全部前提条件被满足的情况下，在经过规定时间之前满足前提条件的情况下也会开始软件更新，因此能够充分确保能够进行软件更新的机会。

作为实施方式例示的服务器1的功能也可以作为具备处理器(CPU)、存储器和存储装置的计算机执行的更新管理方法、或者使该计算机执行的更新管理程序、存储有更新管理程序的计算机可读取的非易失性存储介质来实现。同样地，作为实施方式例示的软件更新装置11的功能也可以作为具备处理器(CPU)、存储器和存储装置的车载计算机执行的更新控制方法、或者使该车载计算机执行的更新控制程序、存储有更新控制程序的计算机可读取的非易失性存储介质来实现。

在上述的实施方式中，说明了在车辆侧，设置在车载网络中的软件更新装置11作为主机装置而控制所有电子控制单元13a～13d的软件更新的例子，但也可以代替设置软件更新装置11，而使电子控制单元13a～13d中的任意一个具有图8～图9所示的更新控制功能，控制其他的电子控制单元的软件更新。另外，也可以代替设置软件更新装置11，而将图8所示的更新控制功能设置在可通过有线方式与车载网络2连接的外部设备中，使用该外部设备进行电子控制单元13a～13d的软件更新处理。

本公开的技术可在用于更新电子控制单元的软件的网络系统中使用。

Claims (12)

1.一种服务器，包括：

第一存储部，其存储前提条件信息，所述前提条件信息包含搭载于车辆的电子控制单元的软件的更新被执行时所述车辆应当满足的一个以上的前提条件；以及

通信部，其配置为，根据来自所述车辆的请求向所述车辆发送所述前提条件信息。

2.根据权利要求1所述的服务器，其中，

还包括第二存储部，

所述通信部配置为，

从所述车辆接收错误信息，所述错误信息包含所述前提条件信息中包含的全部所述前提条件中被判定为所述车辆不满足的前提条件，并且，

将所述错误信息与所述车辆对应地存储在所述第二存储部中。

3.根据权利要求2所述的服务器，其中，

还包括控制部，

所述控制部配置为，

根据所述错误信息，设定与所述错误信息对应的车辆的前提条件。

4.根据权利要求3所述的服务器，其中，

所述控制部配置为，

以放宽车辆应当满足的前提条件的一部分的方式，设定与所述错误信息对应的车辆的前提条件。

5.一种更新管理方法，其由具备处理器、存储器、存储装置的计算机执行，所述更新管理方法包括：

将前提条件信息存储于所述存储装置，所述前提条件信息包含搭载于车辆的电子控制单元的软件的更新执行时所述车辆应当满足的一个以上的前提条件；以及

根据来自所述车辆的请求，向所述车辆发送所述前提条件信息。

6.一种存储装置，

其存储程序，所述程序能够由计算机执行，并且所述程序使具备处理器、存储器、存储装置的所述计算机执行权利要求5所述的更新管理方法。

7.一种软件更新装置，包括：

通信部，其配置为从服务器接收前提条件信息，所述前提条件信息包含搭载于车辆的电子控制单元的软件的更新执行时所述车辆应当满足的一个以上的前提条件；以及

控制部，其配置为，判定所述通信部获取到的所述前提条件信息中包含的所述前提条件是否被满足，并且，

如果判定为全部所述前提条件都被满足，则执行所述电子控制单元的软件的更新。

8.根据权利要求7所述的软件更新装置，其中，

所述通信部配置为，在所述控制部判定为并非全部所述前提条件被满足的情况下，向所述服务器发送错误信息，所述错误信息包含由所述控制部判定为不满足的前提条件。

9.根据权利要求7或8所述的软件更新装置，其中，

所述控制部配置为，在所述软件的更新开始后，判定为并非全部所述前提条件被满足的情况下，中断软件的更新。

10.根据权利要求7至9中任一项所述的软件更新装置，其中，

所述控制部配置为，如果在自判定为并非全部所述前提条件被满足起经过规定时间之前，判定为全部所述前提条件被满足，则开始所述软件的更新。

11.一种中心，包括：

第一存储部，其存储前提条件信息，所述前提条件信息包含搭载于车辆的电子控制单元的软件的更新执行时所述车辆应当满足的一个以上的前提条件；以及

通信部，其配置为，根据来自所述车辆的请求向所述车辆发送所述前提条件信息。

12.一种OTA主机，包括：

通信部，其配置为从中心接收前提条件信息，所述前提条件信息包含搭载于车辆的电子控制单元的软件的更新执行时所述车辆应当满足的一个以上的前提条件；以及

控制部，其配置为，判定所述通信部获取到的所述前提条件信息中包含的所述前提条件是否被满足，并且，

如果判定为全部所述前提条件都被满足，则执行所述电子控制单元的软件的更新。

Images