CN113961214A - 软件更新装置、更新控制方法、非临时存储介质、服务器、ota主机及中心 - Google Patents

Abstract

本发明为一种软件更新装置，对电子控制单元的软件更新进行控制。所述软件更新装置具有：控制部，其被配置为，在执行电子控制单元的软件更新处理时，根据更新对象的电子控制单元具有的非易失性存储器的种类，对批准请求处理的执行时机进行控制，所述批准请求处理用于请求针对软件更新处理的批准。

Description

软件更新装置、更新控制方法、非临时存储介质、服务器、OTA 主机及中心

技术领域

本发明涉及一种用于对电子控制单元的软件的更新进行控制的软件更新装置、更新控制方法、非临时存储介质、服务器、OTA主机及中心。

背景技术

在车辆上搭载了用于控制车辆的动作的多个电子控制单元(ECU)。ECU具有处理器、RAM那样的临时存储部、闪存ROM那样的非易失性的存储部，通过处理器执行存储在非易失性的存储部中的软件来实现ECU的控制功能。各ECU存储的软件能够进行改写，通过更新为较新的版本的软件，能够改善各ECU的功能、追加新的车辆控制功能。

作为对ECU的软件进行更新的技术，已知一种OTA(Over The Air)技术，在该OTA技术中，以无线的方式对与车载网络连接的车载通信设备和互联网等通信网络进行连接，经由无线通信从服务器下载软件并安装下载的软件，由此实施ECU的程序更新、追加(例如，参照日本特开2004-326689)。

作为搭载于ECU的非易失性的存储器(存储部)，存在具有用于存储软件的一个存储区域的存储器(单面存储器)和具有用于存储软件的两个存储区域的存储器(双面存储器)，根据ECU的规格等而区别使用。搭载了双面存储器的ECU能够在两个存储区域中存储新旧两个版本的程序。

发明内容

基于OTA的软件的更新处理包含：软件更新装置从服务器下载更新数据的阶段；将下载的更新数据传送到更新对象的电子控制单元，并在更新对象的电子控制单元的存储区域中安装更新数据的阶段；在更新对象的电子控制单元中激活更新后的软件的阶段。

在搭载了上述双面存储器的ECU中，能够维持存储于一个存储区域中的当前运行的软件，与此同时在另一个存储区域中安装更新版本的软件。与此相对，在搭载了上述单面存储器的ECU中，通过更新版本的软件的安装，存储在存储区域中的当前运行的软件通过更新版本的软件而被改写。

在实施基于OTA的软件更新的情况下，需要向用户、管理者通知通过软件更新而改变的车辆功能、在软件的更新过程中产生的功能限制等，并请求用户、管理者的批准。

但是，如上所述，关于在更新对象的电子控制单元中产生影响的时机，根据在电子控制单元中搭载的非易失性存储器的规格而不同，因此，针对请求批准的时机还存在研究的余地。

因此，本发明提供一种能够根据电子控制单元的规格而改变软件更新时的批准时机的软件更新装置、更新控制方法、存储更新控制程序的非临时存储介质、服务器、OTA主机及中心。

本发明的第一方式为一种软件更新装置，对电子控制单元的软件更新进行控制。所述软件更新装置具有：控制部，其被配置为，在执行电子控制单元的软件更新处理时，根据更新对象的电子控制单元具有的非易失性存储器的种类，对批准请求处理的执行时机进行控制，所述批准请求处理用于请求针对软件更新处理的批准。

在上述第一方式中，所述控制部被配置为，在搭载于更新对象的至少一个电子控制单元的非易失性存储器为第一种类的存储器的情况下，在将更新数据安装在所述非易失性存储器的存储区域之前，执行所述批准请求处理，在搭载于更新对象的电子控制单元的非易失性存储器为第二种类的存储器的情况下，在将更新数据安装在所述非易失性存储器的非读取对象的存储区域之后并且在将写入了更新数据的存储区域作为读取对象激活之前，执行所述批准请求处理。

在上述第一方式中，所述软件更新装置也可以还具有判断部，所述判断部被配置为，对搭载于更新对象的电子控制单元的非易失性存储器是具有一个存储区域的第一种类的存储器、还是具有两个存储区域的第二种类的存储器进行判断。所述控制部被配置为，根据基于所述判断部的判断结果而对所述批准请求处理的执行时机进行控制。

在上述第一方式中，所述软件更新装置也可以还具有存储部，所述存储部被配置为，对搭载于所述电子控制单元的非易失性存储器的种类进行存储，所述判断部被配置为，根据存储在所述存储部中的非易失性存储器的种类，判断更新对象的电子控制单元的非易失性存储器的种类。

在上述第一方式中，所述软件更新装置也可以通信部，所述通信部被配置为，从服务器接收搭载于所述电子控制单元的非易失性存储器的种类；存储部，所述存储部被配置为，存储接收的非易失性存储器的种类，所述判断部被配置为，根据存储在所述存储部中的非易失性存储器的种类，判断更新对象的电子控制单元的非易失性存储器的种类。

在上述第一方式中，软件更新装置可以包含还具有通信部，所述通信部被配置为，从服务器接收指示信息，所述指示信息根据更新对象的电子控制单元具有的非易失性存储器的种类，指示所述批准请求处理的执行时机，所述控制部被配置为，根据接收的指示信息，对所述批准请求处理的执行时机进行控制。

在上述第一方式中，所述控制部被配置为，在所述批准请求处理中使显示装置显示请求针对软件更新的批准的画面。

本发明的第二方式为一种更新控制方法，为了控制电子控制单元的软件更新而由计算机执行，所述计算机具有处理器、存储器、存储装置。所述更新控制方法具有以下步骤：在执行所述电子控制单元的软件更新处理时，根据更新对象的电子控制单元具有的非易失性存储器的种类，对批准请求处理的执行时机进行控制，所述批准请求处理用于请求针对软件更新处理的批准。

本发明的第三方式为一种非临时存储介质，存储能够由计算机执行的、为了控制电子控制单元的软件更新而使所述计算机执行以下的功能的程序，所述计算机具有处理器、存储器、存储装置。所述非临时存储介质的所述功能为，在执行所述电子控制单元的软件更新处理时，根据更新对象的电子控制单元具有的非易失性存储器的种类，对批准请求处理的执行时机进行控制，所述批准请求处理用于请求针对软件更新处理的批准。

本发明的第四方式一种服务器，具有：存储部，其被配置为，针对识别车辆的每个车辆识别信息，存储搭载于所述车辆的电子控制单元具有的非易失性存储器的种类；通信部，其被配置为，从所述车辆接收包含车辆识别信息的确认请求；控制部，其被配置为，当所述通信部接收所述确认请求时，对是否存在由所述确认请求中包含的车辆识别信息识别的车辆的软件的更新数据进行判断，所述通信部被配置为，在所述控制部判断为存在所述车辆的软件的更新数据的情况下，向所述车辆发送指示信息，所述指示信息根据更新对象的电子控制单元具有的非易失性存储器的种类，指示批准请求处理的执行时机。

本发明的第五方式为一种OTA主机，对电子控制单元的软件更新进行控制，所述OTA主机具有：控制部，其被配置为，在执行所述电子控制单元的软件更新处理时，根据更新对象的电子控制单元具有的非易失性存储器的种类，对批准请求处理的执行时机进行控制，所述批准请求处理用于请求针对软件更新处理的批准。

本发明的第六方式为一种中心，具有：存储部，其被配置为，针对识别车辆的每个车辆识别信息，存储搭载于所述车辆的电子控制单元具有的非易失性存储器的种类；通信部，其被配置为，从所述车辆接收包含车辆识别信息的确认请求；控制部，其被配置为，当所述通信部接收所述确认请求时，对是否存在由所述确认请求中包含的车辆识别信息识别的车辆的软件的更新数据进行判断，所述通信部被配置为，在所述控制部判断为存在所述车辆的软件的更新数据的情况下，向所述车辆发送指示信息，所述指示信息根据更新对象的电子控制单元具有的非易失性存储器的种类，指示批准请求处理的执行时机。

根据本发明的各方式，能够提供一种能够根据电子控制单元的规格而改变软件更新时的用户批准时机的软件更新装置、更新控制方法、存储更新控制程序的非临时存储介质、服务器、OTA主机及中心。

附图说明

以下，参考附图，说明本发明的示例性实施方式的特征、优点以及技术和工业意义，在附图中，相同的附图标记表示相同的元件。

图1是表示实施方式的网络系统的整体结构的框图。

图2是表示图1所示的服务器的概要结构的框图。

图3是表示图1所示的软件更新装置的概要结构的框图。

图4A是表示电子控制单元的概要结构的框图。

图4B是表示电子控制单元的概要结构的框图。

图5是图1所示的服务器的功能框图。

图6是图1所示的软件更新装置的功能框图。

图7是表示第一实施方式的服务器执行的控制处理的一例的流程图。

图8是表示第一实施方式的软件更新装置执行的控制处理的一例的流程图。

图9是表示图8所示的安装和/或激活处理的详细的流程图。

图10是表示第二实施方式的服务器执行的控制处理的一例的流程图。

图11是表示第二实施方式的软件更新装置执行的控制处理的一例的流程图。

具体实施方式

第一实施方式

图1是表示实施方式的网络系统的整体结构的框图，图2是表示图1所示的服务器的概要结构的框图，图3是表示图1所示的软件更新装置的概要结构的框图。

图1所示的网络系统是用于对搭载于车辆的电子控制单元13a～13d的软件进行更新的系统，具有服务器1(中心)和搭载于车辆的车载网络2。

服务器1能够经由网络5与搭载于车辆的软件更新装置11进行通信，并对搭载于车辆的电子控制单元13a～13d的软件更新进行管理。

如图2所示，服务器1具有CPU21、RAM22、存储装置23、通信装置24。存储装置23具有硬盘、SSD等可读写的存储介质，并存储用于执行软件的更新管理的程序、用于更新管理的信息、电子控制单元的更新数据。在服务器1中，CPU21通过使用RAM22作为工作区域来执行从存储装置23读取的程序，从而执行后述的控制处理。通信装置24是经由网络与软件更新装置11实施通信的设备。

车载网络2具有软件更新装置11(OTA主机)、通信模块12、多个电子控制单元13a～13d、显示装置14。软件更新装置11经由总线15a与通信模块12连接，经由总线15b与电子控制单元13a及13b连接，经由总线15c与电子控制单元13c及13d连接，经由总线15d与显示装置14连接。软件更新装置11能够经由通信模块12与服务器1进行无线通信。软件更新装置11根据从服务器1取得的更新数据，对电子控制单元13a～13d中的更新对象的电子控制单元的软件更新进行控制。软件更新装置11有时也被称为中央网关。通信模块12是对车载网络2与服务器1进行连接的通信设备。电子控制单元13a～13d是控制车辆的各部分的动作的ECU。显示装置14(HMI)用于在电子控制单元13a～13d的软件的更新处理时，实施存在更新数据的显示、用于向用户、管理者请求针对软件更新的批准的批准请求画面的显示、更新结果的显示等各种显示。作为显示装置14，典型地为能够使用汽车导航系统的显示装置，但只要是能够显示程序的更新处理时所需的信息的装置，则没有特别限定。此外，在图1中，例示了四个电子控制单元13a～13d，但电子控制单元的数量没有特别限定。此外，在图1所示的总线15d上也可以进一步连接显示装置14以外的电子控制单元。

如图3所示，软件更新装置11具有微型计算机35和通信装置36，所述微型计算机35具有CPU31、RAM32、ROM33、存储装置34。在软件更新装置11中，微型计算机35的CPU31通过使用RAM32作为工作区域来执行从ROM33读取的程序，从而执行后述的控制处理。通信装置36是经由图1所示的总线15a～15d与通信模块12、电子控制单元13a～13d、显示装置14实施通信的设备。

图4A和图4B是表示电子控制单元13a～13d的概要结构的框图。

图4A所示的电子控制单元13a包含CPU41、RAM42、非易失性存储器43a、通信装置44。CPU41使用RAM42作为工作区域来执行从非易失性存储器43a读取的程序，由此实现电子控制单元13a的功能。非易失性存储器43a具有用于存储软件的一个存储区域45。以下，将该结构的非易失性存储器43a的种类称为“第一种类”。在存储区域45中，除了用于实现电子控制单元13a的功能的软件之外，有时还存储版本信息、参数数据、启动用的引导程序、软件更新用的程序等。通信装置44是与软件更新装置11、与车载网络2连接的其他电子控制单元13b～13d、显示装置14实施通信的设备。

图4B所示的电子控制单元13b与电子控制单元13a同样地，具有CPU41、RAM42、非易失性存储器43b、通信装置44。然而，搭载于电子控制单元13b的非易失性存储器43b具有用于存储程序的两个存储区域46a和46b。以下，将该结构的非易失性存储器43b的种类称为“第二种类”。在存储区域46a和46b中，除了用于实现电子控制单元13b的功能的软件之外，有时存储版本信息、参数数据、用于启动的引导程序、用于软件更新的程序等。电子控制单元13b的CPU41将非易失性存储器43b具有的两个存储区域46a和46b中的某一个作为读取对象的存储区域(操作面)，执行存储在读取对象的存储区域中的软件。在非读取对象的另一方的存储区域(非操作面)中，在读取对象的存储区域(操作面)的程序的执行中，能够在后台写入更新数据。在软件更新处理中的激活时，通过切换基于CPU41的程序的读取对象的存储区域，能够激活更新版本的软件。作为具体例，假设在存储区域46a中存储有当前运行的软件，在存储区域46b中安装了更新版本的软件的情况。当从软件更新装置11指示更新版本的软件的激活时，例如，通过将CPU41的读取开始地址从存储区域46a的起始地址切换为存储区域46b的起始地址，能够切换CPU41的读取对象的存储区域(操作面)，并执行安装在存储区域46b中的更新版本的软件。此外，在本发明中，将单面的存储区域模拟地划分为双面，并能够在一个面的程序的执行期间在另一面写入程序的被称为“单面挂起存储器”的结构也被分类为第二种类的存储器。

图5是图1所示的服务器1的功能框图。

服务器1具有存储部26、通信部27和控制部28。通信部27和控制部28的功能通过图2所示的CPU21使用RAM22执行存储在存储装置23中的程序来实现，存储部26的功能通过图2所示的存储装置23来实现。

存储部26存储更新管理信息和电子控制单元的软件的更新数据，在该更新管理信息中，针对识别车辆的每个车辆识别信息(车辆ID)，将表示在搭载于车辆的一个以上的电子控制单元中能够使用的软件的信息建立关联。作为表示在电子控制单元中能够使用的软件的信息，例如，定义多个电子控制单元各自的软件的最新的版本信息的组合。

通信部27能够从软件更新装置11接收软件的更新确认请求。更新确认请求例如是在车辆中接通电源或点火装置时从软件更新装置11向服务器1发送的信息中的、用于向服务器1请求确认是否存在电子控制单元的更新数据的信息。此外，通信部27接收来自软件更新装置11的分发包的发送请求(下载请求)。通信部27在接收分发包的下载请求时，将包含电子控制单元的软件的更新数据的分发包发送到软件更新装置11。

控制部28在通信部27接收更新确认请求时，根据存储在存储部26中的更新管理信息，判断是否存在由包含在更新确认请求中的车辆ID确定的车辆的软件的更新数据。控制部28在判断为存在电子控制单元的更新数据的情况下，如果从软件更新装置11接收到分发包的下载请求，则生成包含存储在存储部26中的更新数据的分发包。

图6是图1所示的软件更新装置的功能框图。

软件更新装置11具有存储部37、判断部38、通信部39和控制部40。存储部37的功能通过图3所示的存储装置34来实现，判断部38、通信部39、控制部40的功能通过图3所示的CPU31使用RAM32执行在ROM33中存储的程序来实现。

存储部37存储示出搭载于各个电子控制单元13a～13d中的非易失性存储器的种类为第一种类及第二种类中的哪一个的信息。关于搭载于电子控制单元13a～13d中的非易失性存储器的种类的信息(种类信息)，也可以根据构成车载网络2的电子控制单元13a～13d的规格而预先生成，并在车辆的制造时存储在存储部37中。或者，在软件的更新处理时，后述的通信部39也可以通过车载网络2内的通信而取得表示更新对象的电子控制单元的非易失性存储器的种类的信息。

判断部38在软件的更新处理时，判断搭载于更新对象的电子控制单元中的非易失性存储器是具有一个存储区域的第一种类的存储器，还是具有两个存储区域的第二种类的存储器。关于基于判断部38的非易失性存储器的种类的判断，能够根据存储在存储部37中的非易失性存储器的种类信息来实施。如上所述，存储在存储部37中的非易失性的种类信息可以是在车辆的制造时等预先生成的信息，也可以是根据在软件的更新处理时从更新对象的电子控制单元取得的表示非易失性存储器的种类的信息而被生成的信息。

通信部39例如以车辆的电源或点火装置被接通为契机，向服务器1发送软件的更新确认请求。更新确认请求包含用于识别车辆的车辆ID、与车载网络2连接的电子控制单元13a～13d的软件的版本。关于车辆ID和电子控制单元13a～13d的软件的版本，被用于通过与服务器1针对每个车辆ID保存的最新的软件版本进行比较而判断是否存在电子控制单元的软件的更新数据。此外，通信部39从服务器1接收表示有无更新数据的通知，作为针对更新确认请求的应答。在存在电子控制单元的软件的更新数据的情况下，通信部39向服务器1发送分发包的下载请求，并接收从服务器1发送的分发包。关于分发包，除了包含更新数据之外，还可以包含用于验证更新数据的真实性的验证用数据、更新数据的数量、安装顺序、软件更新时使用的各种控制信息等。此外，在软件的更新处理时从更新对象的电子控制单元取得电子控制单元的非易失性存储器的种类信息的情况下，通信部39通过与更新对象的电子控制单元进行通信而取得种类信息。

控制部40根据针对通信部39接收的更新确认请求的应答，判断电子控制单元的软件的更新数据的有无。控制部40对通信部39从服务器1接收并存储在存储部37中的分发包的真实性进行验证。控制部40将下载的一个以上的更新数据传送到更新对象的电子控制单元，并使更新对象的电子控制单元安装更新数据。在安装完成之后，控制部40指示更新对象的电子控制单元使安装的更新版本的软件成为有效。

在此，在电子控制单元的非易失性存储器是第一种类的存储器的情况下，安装与激活被连续地执行，因此，在执行安装之前，实施请求针对软件更新的用户或管理者的批准的批准请求处理。在电子控制单元的非易失性存储器是第二种类的存储器的情况下，至少在执行安装之后并且执行激活之前，实施针对软件更新的批准请求处理。在电子控制单元的非易失性存储器是第二种类的存储器的情况下，也可以在执行安装之前，实施或省略针对软件的更新的批准请求处理。

关于控制部40，在批准请求处理中使输出装置输出表示需要批准软件更新的通知、催促输入表示批准了软件更新的主旨的通知。作为输出装置，能够使用设置在车载网络2中的显示装置14、实施基于声音的通知的声音输出装置等。例如，在批准请求处理中将显示装置14作为输出装置使用的情况下，控制部40使显示装置14显示用于请求软件更新的批准的批准请求画面，并在用户或管理者批准了的情况下，使显示装置14显示催促按下批准按钮等特定的输入操作的通知。此外，关于控制部40，在批准请求处理中使显示装置14显示通知存在电子控制单元的软件的更新数据的语句、图标等，或使显示装置14显示软件更新处理的执行中的限制事项等。

控制部40在与更新对象的电子控制单元的存储器种类对应的时机实施批准请求处理，当承接表示来自用户或管理者批准了的主旨的输入时，执行上述的安装和激活的控制处理，并对更新对象的电子控制单元的软件进行更新。

在此，软件的更新处理由从服务器1下载更新数据的阶段、将下载的更新数据传送到更新对象的电子控制单元，并在更新对象的电子控制单元的存储区域中安装更新数据的阶段、在更新对象的电子控制单元中使安装的更新版本的软件有效化(激活)的阶段构成。

关于下载，是对从服务器1发送的用于更新电子控制单元的软件的更新数据进行接收及存储的处理。在下载的阶段中，不仅包含更新数据的接收，还包含下载的执行能否判断、更新数据的验证等与下载相关的一系列处理的控制。关于安装，是根据下载的更新数据，将更新版本的程序(更新软件)写入更新对象的电子控制单元的存储区域的处理。在安装的阶段中，不仅包含安装的执行，还包含安装的执行能否判断、更新数据的传送以及更新版本的程序的验证等与安装相关的一系列处理的控制。关于激活，是使安装的更新版本的程序有效化(激活)的处理。在激活的阶段中，不仅包含激活的执行，还包含激活的执行能否判断以及执行结果的验证等与激活相关的一系列的控制。

从服务器1发送到软件更新装置11的更新数据可以包含电子控制单元的更新软件、压缩了更新软件的压缩数据、分割更新软件或压缩数据的分割数据中的任一个。此外，更新数据也可以包含识别更新对象的电子控制单元的标识符(ECUID)和识别更新前的软件的标识符(ECU软件ID)。更新数据被作为上述分发包进行下载，该分发包包含单个或多个电子控制单元的更新数据。

在更新数据包含更新软件本身的情况下，在安装阶段中，软件更新装置11将更新数据(更新软件)传送到更新对象的电子控制单元。此外，在更新数据包含更新软件的压缩数据、差分数据或分割数据的情况下，也可以由软件更新装置11向更新对象的电子控制单元传送更新数据，并由更新对象的电子控制单元根据更新数据生成更新软件，也可以在由软件更新装置11根据更新数据生成更新软件之后，向更新对象的电子控制单元传送更新软件。在此，更新软件的生成能够通过压缩数据的解压缩、差分数据或分割数据的组合来实施。

更新软件的安装能够根据来自软件更新装置11的安装请求，由更新对象的电子控制单元实施。或者，接收了更新数据的更新对象的电子控制单元也可以无需接收来自软件更新装置11的明示的指示地，自主地实施安装。

更新软件的激活能够根据来自软件更新装置11的激活请求，由更新对象的电子控制单元实施。或者，接收了更新数据的更新对象的电子控制单元也可以无需接收来自软件更新装置11的明示的指示地，自主地实施激活。

此外，软件的更新处理能够针对各多个电子控制单元，连续或并行地实施。

此外，本说明书中的“程序更新处理”不仅包含连续地实施下载、安装、激活的全部的处理，还包含仅实施下载、安装、激活中的一部分的处理。

图7是表示第一实施方式的服务器1执行的控制处理的一例的流程图。图7所示的控制处理例如以规定的时间间隔反复执行。

在步骤S1中，通信部27判断是否从软件更新装置11接收了更新确认请求。在步骤S1的判断为“是”的情况下，处理进入步骤S2，在除此以外的情况下，处理进入步骤S3。

在步骤S2中，通信部27向发送了更新确认请求的车辆发送表示是否存在电子控制单元的软件的更新数据的信息。在控制部28中，例如，控制部28将与包含在更新确认请求中的车辆ID建立关联地存储在更新管理信息中的软件的版本的组合、与包含在更新确认请求中的当前的软件的版本的组合进行比较，并且在包含在更新确认请求中的当前软件的版本的组合与存储在更新管理信息中的版本的组合相比而较旧时，能够判断为存在更新数据。之后，处理进入步骤S3。

在步骤S3中，通信部27判断是否从软件更新装置11接收了分发包的下载请求。在步骤S3的判断为“是”的情况下，处理进入步骤S4，在除此以外的情况下，处理进入步骤S1。

在步骤S4中，通信部27将包含软件的更新数据的分发包发送到软件更新装置11。之后，处理进入步骤S1。

图8是表示第一实施方式的软件更新装置11执行的控制处理的一例的流程图。图8所示的控制处理例如以车辆的电源或点火装置被接通为契机而执行。

在步骤S11中，通信部39向服务器1发送包含车辆ID和电子控制单元的软件版本的组合的更新确认请求。之后，处理进入步骤S12。

在步骤S12中，通信部39从服务器1接收确认结果。之后，处理进入步骤S13。

在步骤S13中，控制部40根据来自服务器1的、针对在步骤S1中发送的更新确认请求的应答，判断是否存在电子控制单元13a～13d的软件的更新数据。在步骤S13的判断为“是”的情况下，处理进入步骤S14，在除此以外的情况下，结束处理。

在步骤S14中，通信部39执行下载处理。更具体而言，通信部39向服务器1发送分发包的下载请求，接收应答下载请求而发送的分发包，并将接收的分发包存储在存储部37中。控制部40对在接收的分发包中包含的更新数据的真实性进行验证。在步骤S14中，也可以实施能否执行下载的判断、向服务器1实施下载完成的通知。之后，处理进入步骤S15。

在步骤S15中，判断部38对更新对象的电子控制单元具有的非易失性存储器的存储器种类进行判断，并确定批准请求处理的执行时机。当包含搭载于各电子控制单元13a～13d中的非易失性存储器的存储器种类的种类信息被预先存储在存储部37中的情况下，判断部38根据存储在存储部37中的种类信息来判断更新对象的电子控制单元的存储器种类。此外，在步骤S15中，通信部39实施通过与更新对象的电子控制单元的通信而取得表示存储器种类的信息并存储在存储部37中的处理，判断部38也可以根据通信部39存储在存储部37中的种类信息来判断更新对象的电子控制单元的存储器种类。在更新对象的电子控制单元中的至少一个电子控制单元具有第一种类的存储器的情况下，安装之前的批准是必需的。因此，判断部38判断为至少在安装之前执行批准请求处理。在这种情况下，判断部38也可以根据预先注册的设置等，确定除了在安装之前以外还在激活之前执行批准请求处理。另一方面，在更新对象的全部的电子控制单元都具有第二种类的存储器的情况下，由于激活之前的批准是必需的，因此判断部38判断为至少在激活之前执行批准请求处理。在这种情况下，判断部38也可以根据预先注册的设置等，确定除了在激活之前且还在安装之前执行批准请求处理。之后，处理进入步骤S16。

在步骤S16中，控制部40针对更新对象的电子控制单元执行安装处理和激活处理，并结束处理。

图9是表示图8所示的安装和/或激活处理的详细的流程图。

在步骤S21中，控制部40根据在图8的步骤S15中由判断部38确定的批准请求处理的执行时机，判断在执行安装之前是否需要批准请求处理。在步骤S21的判断为“是”的情况下，处理进入步骤S22，在除此以外的情况下，处理进入步骤S24。

在步骤S22中，控制部40执行针对安装的批准请求处理。例如，控制部40实施表示开始电子控制单元的软件更新的主旨的显示、请求针对软件更新的用户的批准的主旨的显示、以及根据需要显示更新数据的安装所需的时间、安装中的限制事项、注意事项，并承接用户使用触摸面板、操作按钮等输入单元进行的操作输入。之后，处理进入步骤S23。

在步骤S23中，控制部40判断是否实施了表示批准软件更新(安装)的主旨的操作输入。表示批准安装的主旨的操作输入例如能够根据显示在显示装置14中的“批准”或“开始更新”等按钮是否被按下而进行判断。此外，在用户未立即批准软件的更新开始(安装)而是希望此后实施软件的更新开始(安装)的情况下，通过按下“此后进行”等按钮，控制部40能够承接该主旨，在该情况下，控制部40在步骤S24中判断为“否”。在步骤S23的判断为“是”的情况下，处理进入步骤S24，在除此以外的情况下，结束处理。

在步骤S24中，控制部40向更新对象的电子控制单元传送更新数据，并指示安装。之后，处理进入步骤S25。更新对象的电子控制单元将从软件更新装置11接收的更新数据写入软件存储区域。

在步骤S25中，控制部40根据在图8的步骤S15中由判断部38确定的批准请求处理的执行时机来确定是否需要激活之前的批准请求处理。在步骤S25的判断为“是”的情况下，处理进入步骤S26，在除此以外的情况下，处理进入步骤S28。

在步骤S26中，控制部40执行针对激活的批准请求处理。例如，控制部40例如完成电子控制单元的软件更新的准备，执行通过实施电源或点火开关断开等特定的操作来更新程序的主旨的显示，并且根据需要显示激活所需要的时间、激活中的限制事项、注意事项，并承接用户使用触摸面板、操作按钮等输入单元进行的操作输入。之后，处理进入步骤S27。

在步骤S27中，控制部40对是否实施了批准软件更新(激活)的主旨的操作输入进行判断。例如，能够根据显示在显示装置14中的“批准”或“更新”按钮是否被按下来判断用于批准激活的主旨的操作输入。此外，在用户未立即批准软件更新(激活)而是希望此后实施软件更新的情况下，通过按下“此后进行”等按钮，控制部40能够承接该情况，在该情况下，控制部40在步骤S27中判断为“否”。在步骤S27的判断为“是”的情况下，处理进入步骤S28，在除此以外的情况下，结束处理。

在步骤S28中，控制部40指示作为更新目标的电子控制单元激活更新版本的软件。之后，结束处理。此外，更新对象的电子控制单元以通过电源或点火开关断开等进行了特定的操作为契机，再次起动，执行更新后的软件。由此，电子控制单元的软件更新(功能更新)完成。

如上所述，在搭载于更新对象的电子控制单元中的非易失性存储器是第一种类的存储器的情况下，通过安装更新数据来重写当前运行的软件，因此在更新数据的安装阶段在更新对象的电子控制单元中产生影响。因此，在更新对象的电子控制单元中包含搭载了第一种类的存储器的电子控制单元的情况下，在写入更新数据之前，必须实施请求批准的批准请求处理，承接批准是安装开始的条件。另一方面，在搭载于更新对象的电子控制单元中的非易失性存储器是第二种类的存储器时，不是在安装更新数据的阶段而是在安装之后激活更新版本的软件的阶段，在更新对象的电子控制单元中产生影响。因此，在更新对象的电子控制单元全部都是搭载了第二种类的存储器的电子控制单元的情况下，在安装更新数据之后并且激活更新版本的软件之前，必须在显示装置14中显示请求用户批准的批准请求画面，存在用户对程序更新(更新程序的有效化)的批准对于实施请求批准的批准请求处理是必须的，承接批准是激活开始的条件。

本实施方式的软件更新装置11根据更新对象的电子控制单元的非易失性存储器的种类，使软件更新时的批准请求处理的执行时机变化。因此，根据本实施方式的软件更新装置，能够根据更新对象的电子控制单元的规格，在适当的时机请求批准。

具体而言，在搭载于更新对象的至少一个电子控制单元的非易失性存储器是第一种类的存储器的情况下，软件更新装置11在将更新程序写入非易失性存储器的存储区域之前，使显示装置14显示批准请求画面。另一方面，在搭载于更新对象的电子控制单元的全部非易失性存储器都是第二种类的存储器的情况下，在将更新数据安装在非易失性存储器的非读取对象的存储区域之后，并且在激活写入了更新版本的软件的存储区域之前，软件更新装置11使显示装置14显示批准请求显示。因此，根据本实施方式的软件更新装置11，能够根据搭载于更新对象的电子控制单元的非易失性存储器具有的存储区域的数量，在适当的时机实施批准请求处理。

第一实施方式的变形例

在上述示例中，软件更新装置11根据预先存储在存储部37中的表示电子控制单元13a～13d的存储器种类或者通过通信从更新对象的电子控制单元取得的存储器种类的信息，确定批准请求处理。搭载于车辆的电子控制单元13a～13d的结构(种类、存储器种类)由服务器1管理，因此通信部39也可以通过通信而从服务器1取得表示更新对象的电子控制单元的非易失性存储器的种类的信息，并存储在存储部37中。在以此方式构成的情况下，在图7的步骤S4中，服务器1的通信部27将更新数据和表示更新对象的电子控制单元的存储器种类的信息包含在分发包中并发送至车辆。在软件更新装置11中，控制部40根据在图8的步骤S14中通信部39接收的分发包中包含的、表示更新对象的电子控制单元的存储器种类的信息，执行步骤S15的处理，由此能够确定批准请求处理的执行时机。

第二实施方式

在上述的第一实施方式中，对软件更新装置11具有存储表示电子控制单元13a～13d的存储器种类的信息的存储部，根据预先存储在存储部中的电子控制单元13a～13d的存储器种类、或者软件更新装置11通过通信而从电子控制单元13a～13d或者服务器1取得的表示存储器种类的信息而控制批准请求处理的执行时机的结构进行了说明。另一方面，在本实施方式中，服务器1将表示搭载于电子控制单元13a～13d的非易失性存储器的种类的信息存储在存储部26中，并且从服务器1向车辆的软件更新装置11发送指示批准请求处理的执行时机的指示信息。以下，以本实施方式与第一实施方式的不同点为中心进行说明。

图10是表示由第二实施方式的服务器执行的控制处理的示例的流程图。图10所示的控制处理是将图7所示的控制处理的步骤S4置换成步骤S4’的处理。

在步骤S3中，当通信部27从软件更新装置11接收分发包的下载请求时，在步骤S4’中，通信部27向软件更新装置11发送包含电子控制单元的软件的更新数据和指示信息的分发包。指示信息是用于指示软件更新装置11实施软件的更新处理时的批准请求处理的执行时机的信息，并根据搭载于更新对象的电子控制单元的非易失性存储器的种类而被生成。例如，指示信息能够通过控制部28实施以下的步骤而被生成。

首先，控制部28针对由在步骤S3中接收的下载请求中包含的车辆ID确定的车辆，确定在步骤S2中判断为存在更新数据的电子控制单元及其存储器种类。关于搭载于各车辆的电子控制单元的种类、存储器种类，在制造时等预先注册在服务器1的存储部26中。因此，控制部28能够根据预先注册的信息而取得在步骤S2中判断的更新对象的电子控制单元(即，存在更新数据的电子控制单元)的各自的存储器种类。接着，控制部28根据搭载于更新对象的电子控制单元的非易失性存储器的存储器种类，生成指示信息。具体而言，在更新对象的电子控制单元中包含搭载了第一种类的存储器的电子控制单元的情况下，控制部28生成指示在更新对象的电子控制单元中产生实质性影响的安装之前实施批准请求处理的信息。此外，当更新对象的电子控制单元全部都是搭载了第二种类的存储器的电子控制单元的情况下，控制部28生成指示在更新对象的电子控制单元中产生实质性影响的激活之前实施批准请求处理的信息。通信部27将控制部28生成的指示信息与更新对象的电子控制单元的更新数据一起包含在分发包中，并发送至发送了下载请求的车辆。

图11是表示第二实施方式的软件更新装置11执行的控制处理的一例的流程图。图11所示的控制处理是将图8所示的控制处理的步骤S15置换为步骤S15’的处理。

在软件更新装置11中，当通信部39接收分发包时(步骤S14)，在步骤S15’中，控制部40根据在分发包中包含的指示信息，确定批准请求处理的执行时机。在步骤S16中的安装和/或激活处理(图9)中，根据在步骤S15中确定的执行时机来执行图9所示的步骤S21及步骤S25中的判断。

如本实施方式地，如果采用在服务器1中生成指示批准请求处理的执行时机的指示信息并发送至车辆的结构，则无需在软件更新装置11中判断更新对象的电子控制单元的存储器种类，因此能够使软件更新装置11的控制处理变得更简单。

在上述各实施方式中例示的服务器1的功能也可以作为具有处理器(CPU)、存储器和存储装置的计算机执行的更新管理方法、或者使该计算机执行的更新管理程序、存储有更新管理程序的计算机可读取的非临时存储介质来实现。同样地，作为实施方式例示的软件更新装置11的功能，也可以作为具有处理器(CPU)、存储器和存储装置的车载计算机执行的更新控制方法、或者使该车载计算机执行的更新控制程序、存储有更新控制程序的计算机可读取的非临时存储介质来实现。

在上述的各实施方式中，对车辆侧设置在车载网络2中的软件更新装置11作为主机装置而控制全部的电子控制单元13a～13d的程序更新的示例进行了说明，但也可以代替设置软件更新装置11地，使电子控制单元13a～13d中的任一个具有图8以及图9所示的更新控制功能，并控制其他的电子控制单元的程序更新。此外，也可以代替设置软件更新装置11地，将图8及图9所示的更新控制功能设置在能够以有线的方式与车载网络2连接的外部设备中，并使用该外部设备实施电子控制单元13a～13d的程序更新处理。

本发明的技术能够适用于更新电子控制单元的程序的网络系统。

Claims (12)

1.一种软件更新装置，对电子控制单元的软件更新进行控制，所述软件更新装置的特征在于，具有：

控制部，其被配置为，在执行所述电子控制单元的软件更新处理时，根据更新对象的电子控制单元具有的非易失性存储器的种类，对批准请求处理的执行时机进行控制，所述批准请求处理用于请求针对软件更新处理的批准。

2.根据权利要求1所述的软件更新装置，其特征在于，

所述控制部被配置为，在搭载于更新对象的至少一个电子控制单元的非易失性存储器为第一种类的存储器的情况下，在将更新数据安装在所述非易失性存储器的存储区域之前，执行所述批准请求处理，在搭载于更新对象的电子控制单元的非易失性存储器为第二种类的存储器的情况下，在将更新数据安装在所述非易失性存储器的非读取对象的存储区域之后并且在将写入了更新数据的存储区域作为读取对象激活之前，执行所述批准请求处理。

3.根据权利要求2所述的软件更新装置，其特征在于，

还具有判断部，所述判断部被配置为，对搭载于更新对象的电子控制单元的非易失性存储器是具有一个存储区域的第一种类的存储器、还是具有两个存储区域的第二种类的存储器进行判断，

所述控制部被配置为，根据基于所述判断部的判断结果而对所述批准请求处理的执行时机进行控制。

4.根据权利要求3所述的软件更新装置，其特征在于，

还具有存储部，所述存储部被配置为，对搭载于所述电子控制单元的非易失性存储器的种类进行存储，

所述判断部被配置为，根据存储在所述存储部中的非易失性存储器的种类，判断更新对象的电子控制单元的非易失性存储器的种类。

5.根据权利要求3所述的软件更新装置，其特征在于，还具有：

通信部，所述通信部被配置为，从服务器接收搭载于所述电子控制单元的非易失性存储器的种类；

存储部，所述存储部被配置为，存储接收的非易失性存储器的种类，

所述判断部被配置为，根据存储在所述存储部中的非易失性存储器的种类，判断更新对象的电子控制单元的非易失性存储器的种类。

6.根据权利要求2所述的软件更新装置，其特征在于，

还具有通信部，所述通信部被配置为，从服务器接收指示信息，所述指示信息根据更新对象的电子控制单元具有的非易失性存储器的种类，指示所述批准请求处理的执行时机，

所述控制部被配置为，根据接收的指示信息，对所述批准请求处理的执行时机进行控制。

7.根据权利要求1至6中任一项所述的软件更新装置，其特征在于，

所述控制部被配置为，在所述批准请求处理中使显示装置显示请求针对软件更新的批准的画面。

8.一种更新控制方法，为了控制电子控制单元的软件更新并由计算机执行，所述计算机具有处理器、存储器、存储装置，所述更新控制方法的特征在于，具有以下步骤：

在执行所述电子控制单元的软件更新处理时，根据更新对象的电子控制单元具有的非易失性存储器的种类，对批准请求处理的执行时机进行控制，所述批准请求处理用于请求针对软件更新处理的批准。

9.一种非临时存储介质，存储能够由计算机执行的、为了控制电子控制单元的软件更新而使所述计算机执行以下的功能的程序，所述计算机具有处理器、存储器、存储装置，所述非临时存储介质的特征在于，

所述功能为，在执行所述电子控制单元的软件更新处理时，根据更新对象的电子控制单元具有的非易失性存储器的种类，对批准请求处理的执行时机进行控制，所述批准请求处理用于请求针对软件更新处理的批准。

10.一种服务器，其特征在于，具有：

存储部，其被配置为，针对识别车辆的每个车辆识别信息，存储搭载于所述车辆的电子控制单元具有的非易失性存储器的种类；

通信部，其被配置为，从所述车辆接收包含车辆识别信息的确认请求；

控制部，其被配置为，当所述通信部接收所述确认请求时，对是否存在由所述确认请求中包含的车辆识别信息识别的车辆的软件的更新数据进行判断，

所述通信部被配置为，在所述控制部判断为存在所述车辆的软件的更新数据的情况下，向所述车辆发送指示信息，所述指示信息根据更新对象的电子控制单元具有的非易失性存储器的种类，指示批准请求处理的执行时机。

11.一种OTA主机，对电子控制单元的软件更新进行控制，所述OTA主机的特征在于，具有：

控制部，其被配置为，在执行所述电子控制单元的软件更新处理时，根据更新对象的电子控制单元具有的非易失性存储器的种类，对批准请求处理的执行时机进行控制，所述批准请求处理用于请求针对软件更新处理的批准。

12.一种中心，其特征在于，具有：

存储部，其被配置为，针对识别车辆的每个车辆识别信息，存储搭载于所述车辆的电子控制单元具有的非易失性存储器的种类；

通信部，其被配置为，从所述车辆接收包含车辆识别信息的确认请求；

控制部，其被配置为，当所述通信部接收所述确认请求时，对是否存在由所述确认请求中包含的车辆识别信息识别的车辆的软件的更新数据进行判断，

所述通信部被配置为，在所述控制部判断为存在所述车辆的软件的更新数据的情况下，向所述车辆发送指示信息，所述指示信息根据更新对象的电子控制单元具有的非易失性存储器的种类，指示批准请求处理的执行时机。

Images