CN114040360B - 服务器、更新管理方法、非临时存储介质、软件更新装置、带服务器及软件更新装置的系统 - Google Patents

Abstract

本发明为一种服务器，具有：第一通信部，其被配置为使用第一通信方式与所述软件更新装置实施双向的通信；第二通信部，其被配置为使用与所述第一通信方式不同的第二通信方式向所述软件更新装置实施信息的发送；控制部，其被配置为对所述第一通信部是否使用所述第一通信方式从所述软件更新装置接收了特定的请求进行判断，所述第二通信部在所述控制部判断为所述第一通信部未从所述软件更新装置接收所述特定的请求的情况下，使用所述第二通信方式向所述软件更新装置实施通知。

Description

服务器、更新管理方法、非临时存储介质、软件更新装置、带服 务器及软件更新装置的系统

技术领域

本发明涉及一种服务器、更新管理方法、非临时存储介质、软件更新装置、具有服务器及软件更新装置的系统。

背景技术

在车辆上搭载有用于控制车辆的动作的多个电子控制单元(ECU)。ECU具有处理器、RAM那样的临时的存储部、闪速ROM那样的非易失性的存储部，通过处理器执行存储在非易失性的存储部中的软件来实现ECU的控制功能。各ECU存储的软件能够进行改写，通过更新为较新的版本的软件，能够改善各ECU的功能、追加新的车辆控制功能。

对ECU的软件进行更新的技术的一例为OTA(Over The Air)技术，所述OTA技术通过以无线的方式将与车载网络连接的通信模块和互联网等的通信网络连接，以无线通信的方式从服务器向车辆下载软件并安装下载的软件，从而实施ECU的软件更新、追加。

关于基于OTA的程序的更新，能够在接通车辆的电源或点火开关时以搭载于车辆的更新控制装置向服务器发送车载装置的程序的版本信息为契机开始实施(例如，参照日本特开2018-181377)。

发明内容

在车辆处于电波状况等原因而通信模块不能够与服务器进行通信的环境中的情况下，即使接通电源或点火开关，也不能够从车辆向服务器发送软件的更新确认。此外，在通过OTA实施软件更新的情况未预先注册在服务器中、在服务器中OTA未被有效化的车辆的情况下，不能够在通信模块与服务器之间建立通信链路。

当通信模块与服务器不能够进行通信的状态持续时，有可能长时间地不能够更新ECU的软件，在ECU的软件更新的管理方面有改善的余地。

本公开提供了一种在不能够从电子控制单元向服务器发送信息的情况下，也能够向车辆侧发送与软件更新相关的通知的服务器、更新管理方法、非临时存储介质、软件更新装置、具有服务器及软件更新装置的系统。

本公开的第一方式的服务器被配置为与软件更新装置进行通信，所述软件更新装置被配置为对搭载于车辆的电子控制单元的软件的更新进行控制，所述服务器具有：第一通信部，其被配置为使用第一通信方式与所述软件更新装置实施双向的通信；第二通信部，其被配置为使用与所述第一通信方式不同的第二通信方式向所述软件更新装置实施信息的发送；控制部，其被配置为对所述第一通信部是否使用所述第一通信方式从所述软件更新装置接收了特定的请求进行判断，所述第二通信部被配置为，在所述控制部判断为所述第一通信部未从所述软件更新装置接收所述特定的请求的情况下，使用所述第二通信方式向所述软件更新装置实施通知。

本公开的第二方式的更新管理方法是由计算机执行的方法，所述计算机具有处理器、存储器、存储装置。计算机被配置为，使用第一通信方式与对搭载于车辆的电子控制单元的软件的更新进行控制的软件更新装置实施双向的通信，使用与所述第一通信方式不同的第二通信方式向所述软件更新装置实施信息的发送，所述更新管理方法具有：对是否使用所述第一通信方式从所述软件更新装置接收了特定的请求进行判断的步骤；在所述计算机判断为未从所述软件更新装置接收所述特定的请求的情况下，使用所述第二通信方式向所述软件更新装置实施通知的步骤。

本公开的第三方式的非临时存储介质存储能够由计算机的处理器执行并使所述处理器执行以下功能的更新管理程序，所述计算机具有处理器、存储器、所述存储介质，并且所述计算机被配置为，使用第一通信方式与对电子控制单元的软件的更新进行控制的软件更新装置实施双向的通信，使用与所述第一通信方式不同的第二通信方式向所述软件更新装置实施信息的发送。所述功能具有：对是否使用所述第一通信方式从所述软件更新装置接收了特定的请求进行判断的步骤；在所述计算机判断为未从所述软件更新装置接收所述特定的请求的情况下，使用所述第二通信方式向所述软件更新装置实施通知的步骤。

本公开的第四方式的软件更新装置被配置为对搭载于车辆的电子控制单元的软件的更新进行控制，所述软件更新装置具有：第一通信部，其被配置为使用第一通信方式与服务器实施双向的通信；第二通信部，其被配置为使用与所述第一通信方式不同的第二通信方式从所述服务器实施信息的接收；控制部，其被配置为对所述第二通信部是否从所述服务器接收了通知进行判断，所述控制部被配置为，在判断为所述第二通信部从所述服务器接收了所述通知的情况下，使输出装置输出与接收的通知相关的信息。

本发明第五方式的系统具有：服务器；软件更新装置，其被配置为对搭载于车辆的电子控制单元的软件的更新进行控制；所述服务器具有：第一通信部，其被配置为使用第一通信方式与所述软件更新装置实施双向的通信；第二通信部，其被配置为使用与所述第一通信方式不同的第二通信方式向所述软件更新装置实施信息的发送；第一控制部，其被配置为对所述第一通信部是否使用所述第一通信方式从所述软件更新装置接收了特定的请求进行判断，所述第二通信部被配置为，在所述第一控制部判断为所述第一通信部未从所述软件更新装置接收所述特定的请求的情况下，使用所述第二通信方式向所述软件更新装置实施通知，所述软件更新装置具有：第三通信部，其被配置为使用所述第一通信方式与所述服务器实施双向的通信；第四通信部，其被配置为使用所述第二通信方式从所述服务器接收信息；第二控制部，其被配置为对所述第四通信部是否从所述服务器接收了所述通知进行判断，所述第二控制部在判断为所述第四通信部从所述服务器接收了所述通知的情况下，使输出装置输出与接收的通知相关的信息。

根据本发明，能够提供一种在不能够从电子控制单元向服务器发送信息的情况下，也能够向车辆侧发送与软件更新相关的通知的服务器、更新管理方法、非临时存储介质、软件更新装置、具有服务器及软件更新装置的系统。

附图说明

以下，参考附图，说明本发明的示例性实施例的特征、优点以及技术和工业意义，在附图中，相同的标记表示相同的元件。

图1是表示实施方式的网络系统的整体结构的框图。

图2是表示图1所示的服务器的概要结构的框图。

图3是表示图1所示的软件更新装置的概要结构的框图。

图4是图1所示的服务器的功能框图。

图5是表示图1所示的服务器存储的更新管理信息的一例的图。

图6是图1所示的软件更新装置的功能框图。

图7是表示实施方式的服务器执行的控制处理的一例的流程图。

图8是表示实施方式的服务器执行的控制处理的另一例的流程图。

图9是表示实施方式的软件更新装置执行的控制处理的一例的流程图。

图10是表示实施方式的软件更新装置执行的控制处理的另一例的流程图。

图11是表示变形例的软件更新装置执行的控制处理的一例的流程图。

具体实施方式

图1是表示实施方式的网络系统的整体结构的框图，图2是表示图1所示的服务器的概要结构的框图，图3是表示图1所示的软件更新装置的概要结构的框图。

图1所示的网络系统是用于对搭载于车辆的电子控制单元13a～13d的软件进行更新的系统，具有服务器1(中心)、搭载于车辆的车载网络2。

服务器1能够经由网络与搭载于车辆的软件更新装置11进行通信，并对搭载于车辆的电子控制单元13a～13d的软件更新进行管理。服务器1能够使用第一通信方式和第二通信方式与软件更新装置11进行通信。在使用第一通信方式实施通信的情况下，服务器1使用能够与软件更新装置11进行双向的通信的协议、服务实施通信。此外，在使用第二通信方式实施通信的情况下，服务器1只要能够使用至少能够向软件更新装置11单向地发送数据的协议、服务实施通信即可。只是，在服务器1使用第二通信方式的情况下，也可以使用能够与软件更新装置11进行双向的通信的协议、服务。第一通信方式是在实施后述的软件更新处理时在服务器1与软件更新装置11之间发送接收各种控制信息、从服务器1向软件更新装置11发送更新数据时使用的通信方式。第二通信方式是在服务器1不能够以第一通信方式与软件更新装置11进行通信的情况下，从服务器1向软件更新装置11实施通知时使用的通信方式。第一通信方式与第二通信方式没有特别限定，但优选使用无线的通信方式。例如，作为第一通信方式的通信，能够利用使用了移动通信系统的通信(3G通信、4G通信(LTE、5G通信)、使用了Wi-Fi(注册商标)的通信等，作为第二通信方式的通信，能够利用使用了移动通信系统的通信、基于SMS等通信服务的通信、使用了BLE(Bluetooth(注册商标)LowEnergy)、Wi-Fi(注册商标)、充电设备(充电器)等的通信。

如图2所示，服务器1具有CPU21、RAM22、存储装置23、通信装置24。存储装置23具有硬盘、SSD等可读写的存储介质，并存储用于执行软件的更新管理的软件、后述的更新管理信息、电子控制单元的更新数据。在服务器1中，CPU21(一个或多个处理器)通过使用RAM22作为工作区域来执行从存储装置23读出的软件，从而执行后述的控制处理。通信装置24是经由网络与软件更新装置11实施通信的设备。

车载网络2具有软件更新装置11(OTA主机)、通信模块12及16、多个电子控制单元13a～13d、显示装置14。软件更新装置11经由总线15a与通信模块12及16连接，经由总线15b与电子控制单元13a及13b连接，经由总线15c与电子控制单元13c及13d连接，经由总线15d与显示装置14连接。软件更新装置11能够经由通信模块12与服务器1进行双向的通信(第一通信方式的通信)，并且能够经由通信模块16从服务器1至少接收信息(第二通信方式的通信)。软件更新装置11根据从服务器1取得的更新数据，控制电子控制单元13a～13d中作为更新对象的电子控制单元的软件更新。软件更新装置11有时也被称为中央网关。通信模块12和16是连接车载网络2与设置在中心的服务器1的通信设备。在本实施方式中，与第一通信方式和第二通信方式分别对应地设置了通信模块12和16，但也可以替代通信模块12和16而设置能够进行基于第一通信方式的通信和基于第二通信方式的通信的一个通信模块。电子控制单元13a～13d是控制车辆的各部分的动作的ECU，具有CPU、RAM、闪速存储器、EEPROM等非易失性的存储装置，CPU将RAM作为工作区域进行使用，通过执行存储在存储装置中的软件来执行控制功能。显示装置14(HMI)用于在电子控制单元13a～13d的软件的更新处理时，实施显示存在更新数据、显示对用户要求软件更新的许可请求、显示更新结果等的各种显示。作为显示装置14，典型地为能够使用汽车导航系统的显示装置，但只要是能够显示软件的更新处理时所需的信息的装置即可，没有特别限定。此外，在图1中，例示了四个电子控制单元13a～13d，但电子控制单元的数量没有特别限定。此外，在图1所示的总线15d还可以连接显示装置14以外的电子控制单元。

如图3所示，软件更新装置11具有微型计算机35和通信装置36，该微型计算机35具有CPU31、RAM32、ROM33和存储装置34。在软件更新装置11中，微型计算机35的CPU31(一个或多个处理器)通过使用RAM32作为工作区域来执行从ROM33读出的软件，从而执行后述的控制处理。通信装置36是经由图1所示的总线15a～15d与通信模块12和16、电子控制单元13a～13d、显示装置14实施通信的设备。

图4是图1所示的服务器的功能框图，图5是表示图1所示的服务器存储的更新管理信息的一例的图。

服务器1具有第一通信部26、第二通信部27、存储部28和控制部29。第一通信部26、第二通信部27以及控制部29通过图2所示的CPU21使用RAM22执行存储在存储装置23中的软件来实现，存储部28通过图2所示的存储装置23来实现。

第一通信部26使用上述第一通信方式与软件更新装置11实施双向的通信。第一通信部26能够从软件更新装置11接收软件的更新确认请求和更新有效化请求。更新确认请求例如是在车辆中接通电源或点火开关时从软件更新装置11向服务器1发送的信息中的、用于向服务器1请求确认是否存在电子控制单元的软件的更新数据的信息。更新有效化请求是从软件更新装置11向服务器1发送的信息中的、用于请求利用第一通信方式的通信实施电子控制单元的软件更新的有效化的信息。此外，第一通信部26在通过后述的控制部29判断为需要进行发送了更新确认请求的车辆的电子控制单元的软件更新的情况下，将存储在存储部28中的更新数据发送给软件更新装置11。

第二通信部27使用上述第二通信方式与软件更新装置11实施通信。第二通信部27根据后述的控制部29的判断结果，向软件更新装置11发送消息，该消息请求发送更新确认请求或更新有效化请求。

存储部28存储用于管理电子控制单元的软件的更新状态的更新管理信息。如图5所示，更新管理信息是将识别车辆的车辆识别信息(车辆ID)、表示利用了第一通信方式的通信的软件更新处理是否有效的有效性信息、表示可利用的电子控制单元的软件的信息建立关联的信息。在本实施方式中，作为表示可利用的电子控制单元的软件的信息，定义了多个电子控制单元各自的软件的最新的版本信息的组合。有效性信息通过用户、销售店的注册来设定，在作为有效性信息而被设定了“有效”的情况下，能够通过第一通信方式的通信进行车辆的软件更新。此外，在图5所示的更新管理信息中，在有效性信息中设定为“有效”(即，能够执行基于第一通信方式的通信的软件更新)的车辆ID中，进一步建立关联地存储了作为上次的软件更新完成的日期时间的更新日期时间。此外，在图5所示的更新管理信息中，也可以除了上次的更新日期时间之外，或者替代上次的更新日期时间地将从软件更新装置11接收的信息(例如，更新确认请求、更新有效化请求)的上次的日期时间(上次接收日期时间)与车辆ID建立关联。

在图5中，作为更新管理信息，示出了针对车辆ID设置将有效性信息与可利用的软件的版本信息建立关联的一个表的例子，但也可以将有效性信息与可利用的软件的版本信息设置为另外的表。在将有效性信息与可利用的软件的版本信息设置为另外的表的情况下，有效性信息需要针对每个车辆ID进行设定，但可利用的软件的版本信息无需针对每个车辆ID进行设定，例如也可以针对识别车辆种类(型号)的每个车辆种类ID进行设定。

在本实施方式中，存储部28还存储电子控制单元的更新数据。只是，也可以替代在存储部28中存储更新数据，与服务器1分体地设置更新数据的分发服务器。

控制部29判断第一通信部26是否通过第一通信方式的通信从软件更新装置11接收了更新确认请求或更新有效化请求。关于控制部29的判断，例如能够根据第一通信部26的通信日志或存储在存储部28中的更新管理信息来实施。此外，控制部29在第一通信部26从软件更新装置11接收了软件的更新确认请求的情况下，根据存储在存储部28中的更新管理信息，判断在搭载发送了更新确认请求的软件更新装置11的车辆中是否需要电子控制单元的软件的更新。此外，控制部29在第一通信部26从软件更新装置11接收软件的更新有效化请求时，实施存储在存储部28中的更新管理信息的更新。具体而言，控制部29将“有效”设定为与发送了更新有效化请求的软件更新装置11对应的有效性信息。由此，在搭载发送了更新有效化请求的软件更新装置11的车辆中，电子控制单元的基于第一通信方式的软件的更新变为有效。

图6是图1所示的软件更新装置的功能框图。

软件更新装置11具有第一通信部37、第二通信部38、存储部39和控制部40。第一通信部37、第二通信部38以及控制部40通过图3所示的CPU31使用RAM32执行存储在ROM33中的软件来实现。存储部39通过图3所示的存储装置34来实现。

第一通信部37使用第一通信方式与服务器1实施双向的通信。第一通信部37例如以车辆的电源或点火开关被接通为契机，通过第一通信方式的通信向软件更新装置11发送软件的更新确认请求，通过第一通信方式的通信接收服务器1中的确认结果(表示是否存在更新数据的信息)。软件的更新确认请求包括用于识别车辆的车辆ID、与车载网络2连接的电子控制单元13a～13d的软件的版本。如图5中说明的那样，在服务器1中，并非针对每个车辆ID而是针对每个车辆种类ID来管理软件的版本信息的情况下，第一通信部37向服务器1发送包含车辆种类ID的更新确认请求。在存在电子控制单元的软件的更新数据的情况下，第一通信部37向服务器1发送分发包的下载请求，并接收从服务器1发送的分发包。分发包可以包含用于验证更新数据的真实性的验证用数据、更新数据的数量、安装顺序、软件更新时使用的各种控制信息等。第一通信部37将接收了的分发包存储在存储部39中。第一通信部37验证接收的更新数据的真实性。此外，第一通信部37根据来自用户的指示，通过第一通信方式的通信，向服务器1发送更新有效化请求，该更新有效化请求用于将利用第一通信方式的通信的电子控制单元的软件更新有效化。

第二通信部38使用第二通信方式接收从服务器1发送的通知。该通知是请求上述的更新确认请求的发送或更新有效化请求的发送的消息等，在不能够使用第一通信方式进行第一通信部37与服务器1之间的通信的情况下从服务器1被发送。

存储部39存储第一通信部37从服务器1接收的更新数据。

控制部40在基于第一通信部37的分发包的下载完成时，实施更新对象的电子控制单元的安装及激活。另外，更新对象的电子控制单元能够根据在分发包中包含的信息(与更新数据建立关联的电子控制单元的识别信息等)来确定。此外，控制部40在第二通信部38通过第二通信方式的通信从服务器1接收了通知的情况下，通过使显示装置14、扬声器(未图示)等输出装置输出通知内容而向用户等提示。

在此，软件的更新处理由从服务器1下载更新数据的阶段、将下载的更新数据传送到更新对象的电子控制单元并在更新对象的电子控制单元的存储区域中安装更新数据的阶段、使在更新对象的电子控制单元中安装的更新版本的软件有效化的激活的阶段构成。

下载是接收并存储从服务器1发送的、用于更新电子控制单元的软件的更新数据的处理。在下载的阶段中，不仅是更新数据的接收，还包含下载的能否执行的判断、更新数据的验证等与下载相关的一系列的处理的控制。安装是根据下载的更新数据，将更新版本的程序(更新软件)写入作为更新对象的电子控制单元的车载设备的存储部的处理。在安装阶段中，不仅是安装执行，还包含安装的能否执行的判断、更新数据的传送以及更新版本的程序的验证等与安装相关的一系列处理的控制。激活是将安装的更新版本的程序有效化的处理。关于激活的控制，不仅是激活的执行，还包括激活能否执行的判断、执行结果的验证等与激活相关的一系列的控制。

从服务器1发送至软件更新装置11的更新数据也可以包含电子控制单元的更新软件、压缩了更新软件的压缩数据、分割了更新软件或压缩数据的分割数据中的任一个。此外，更新数据也可以包含识别更新对象的电子控制单元的标识符(ECUID)、识别更新前的软件的标识符(ECU软件ID)。更新数据被作为上述的分发包而下载，在分发包中包括单个或多个电子控制单元的更新数据。

在更新数据包含更新软件本身的情况下，在安装的阶段中，软件更新装置将更新数据(更新软件)传送到更新对象的电子控制单元。此外，在更新数据包含更新软件的压缩数据、差分数据或分割数据的情况下，可以由软件更新装置11向更新对象的电子控制单元传送更新数据，并由更新对象的电子控制单元根据更新数据生成更新软件，也可以在由软件更新装置11根据更新数据生成更新软件之后，向更新对象的电子控制单元传送更新软件。在此，关于更新软件的生成，能够通过压缩数据的解压缩、差分数据或分割数据的组合来实施。

更新软件的安装能够根据来自软件更新装置11的安装请求，由更新对象的电子控制单元实施。或者，接收了更新数据的更新对象的电子控制单元也可以无需来自软件更新装置11的明示的指示而自主地实施安装。

更新软件的激活能够根据来自软件更新装置11的激活请求，由更新对象的电子控制单元实施。或者，接收了更新数据的更新对象的电子控制单元也可以无需来自软件更新装置11的明示的指示而自主地实施激活。

此外，软件的更新处理能够针对多个电子控制单元的每一个连续或并行地实施。

此外，本说明书中的“软件更新处理”不仅包括连续地实施下载、安装、激活的全部的处理，还包括仅实施下载、安装、激活的一部分的处理。

以下，对服务器1以及软件更新装置11执行的控制处理进行说明。

图7是表示实施方式的服务器执行的控制处理的一例的流程图。图7所示的控制处理是对基于使用了第一通信方式的通信的软件更新为无效的车辆、未向服务器1发送更新确认请求的车辆进行确定，并针对确定的车辆通过使用了第二通信方式的通信而实施通知的处理。因此，服务器1定期地重复执行图7所示的控制处理。

在步骤S1中，控制部29参照存储在存储部28中的更新管理信息，判断是否存在有效性信息未被设定为“有效”的车辆(车辆ID)。关于步骤S1的判断，其为判断第一通信部26是否通过第一通信方式的通信从各车辆接收了用于使基于OTA的软件更新有效的更新有效化请求的处理。在步骤S1的判断为“是”的情况下，处理进入步骤S2，在除此以外的情况下，处理进入步骤S3。

在步骤S2中，第二通信部27通过使用第二通信方式的通信，向在步骤S1中确定的一个以上的车辆发送请求发送软件的更新有效化请求的通知。此后，处理进入步骤S3。

在步骤S3中，控制部29判断是否存在未接收用于确认有无更新数据的更新确认请求的车辆。关于步骤S3的判断，其为判断第一通信部26是否通过第一通信方式的通信接收更新确认请求的处理。例如，控制部29参照存储在存储部28中的更新管理信息，根据上次更新日期时间和当前的日期时间，判断是否存在从上次的电子控制单元的软件更新起经过了规定期间的车辆(车辆ID)。此外，在更新管理信息中替代上次更新日期时间而记录了上次接收日期时间(从软件更新装置11接收了信息的上次的日期时间)的情况下，根据上次接收日期时间和当前的日期时间，判断是否存在从上次的信息接收起经过了规定期间的车辆即可。此外，在更新管理信息中记录了上次更新日期时间和上次接收日期时间的情况下，也可以根据从上次更新日期时间起的经过时间和从上次接收日期时间起的经过时间中的任一个，实施步骤S3的判断。作为另一例，也可以根据从电子控制单元的更新数据被发布(软件更新的通告被告知)起是否经过了规定时间，实施步骤S3的判断。在步骤S3的判断为“是”的情况下，处理进入步骤S4，在除此以外的情况下，结束处理。

在步骤S4中，第二通信部27通过第二通信方式的通信，向在步骤S3中确定的一个以上的车辆发送请求发送软件的更新确认请求的通知。此后，结束处理。

图8是表示实施方式的服务器执行的控制处理的另一例的流程图。图8所示的控制处理是在服务器1通过使用第一通信方式的通信而从软件更新装置11接收了更新确认请求或更新有效化请求的情况下执行的处理。图8的控制处理例如以规定的时间间隔反复地执行。

在步骤S11中，第一通信部26判断是否从软件更新装置11接收了更新确认请求。在步骤S11的判断为“是”的情况下，处理进入步骤S12，在除此以外的情况下，处理进入步骤S13。

在步骤S12中，第一通信部26针对发送了更新确认请求的车辆，发送表示是否存在电子控制单元的软件的更新数据的信息。关于更新数据的有无，例如控制部29参照存储在存储部28中的更新管理信息，对与包含在更新确认请求中的车辆ID建立关联地存储在更新管理信息中的软件的版本的组合与包含在更新确认请求中的当前的软件的版本的组合进行比较，在包含在更新确认请求中的当前的版本的组合与存储在更新管理信息中的版本的组合相比而较早的情况下，能够判断为存在更新数据。此后，处理进入步骤S13。

在步骤S13中，第一通信部26判断是否从软件更新装置11接收了分发包的下载请求。在步骤S13的判断为“是”的情况下，处理进入步骤S14，在除此以外的情况下，处理进入步骤S15。

在步骤S14中，第一通信部26生成分发包，并将生成的分发包发送到软件更新装置11，该分发包包含用于更新发送了下载请求的车辆的软件的更新数据。此后，处理进入步骤S15。

在步骤S15中，控制部29判断是否从软件更新装置11接收了更新有效化请求。在步骤S15的判断为“是”的情况下，处理进入步骤S16，在除此以外的情况下，处理进入步骤S11。

在步骤S16中，控制部29将在更新有效化请求中确定的车辆ID对应的有效性信息更新为“有效”。此后，处理进入步骤S11。

图9是表示实施方式的软件更新装置执行的控制处理的一例的流程图。图9表示软件更新装置11执行的软件更新处理的概要。图9的控制处理例如以车辆的电源或点火开关被接通为契机而执行。

在步骤S21中，第一通信部37通过第一通信方式的通信向服务器1发送包括车辆ID和电子控制单元13a～13d的软件的版本的组合的更新确认请求。此后，处理进入步骤S22。

第一通信部37从服务器1接收确认结果。此后，处理进入步骤S23。

在步骤S23中，控制部40根据从服务器1接收的确认结果，判断是否存在电子控制单元13a～13d的软件的更新数据。在步骤S23的处理为“是”的情况下，处理进入步骤S24，在除此以外的情况下，结束处理。

在步骤S24中，第一通信部37执行下载处理。更详细而言，第一通信部37向服务器1发送分发包的下载请求，接收响应下载请求而发送的分发包，并将接收的分发包存储在存储部39中。第一通信部37验证在接收的分发包中包含的更新数据的真实性。在步骤S24中，也可以实施下载的能否执行的判断、向服务器1实施下载完成的通知。此后，处理进入步骤S25。

在步骤S25中，控制部40针对更新对象的电子控制单元执行安装处理。步骤S25的安装处理包括安装的能否执行的判断、向用户请求许可安装并承接许可的输入的处理、从软件更新装置11向更新对象的电子控制单元的更新数据的传送、针对更新对象的电子控制单元的安装请求、针对更新对象的电子控制单元的安装的验证请求等。关于更新对象的电子控制单元，使用从软件更新装置11接收的更新数据将更新版本的软件安装在存储区域中。此后，处理进入步骤S26。

在步骤S26中，控制部40针对更新对象的电子控制单元执行激活处理。步骤S26中的激活处理包括激活的能够执行的判断、请求用户许可激活并承接许可的输入的处理、针对更新对象的电子控制单元的激活请求等。更新对象的电子控制单元通过将执行对象的软件切换为更新版本的软件，使更新版本的软件有效化而启动。此后，结束处理。

图10是表示实施方式的软件更新装置执行的控制处理的另一例的流程图。图10所示的控制处理是在软件更新装置11通过第二通信方式的通信从服务器1接收了通知的情况下执行的处理。

在步骤S31中，控制部40判断第二通信部38是否通过第二通信方式的通信从服务器1接收了通知。在步骤S31的判断为“是”的情况下，处理进入步骤S32，在除此以外的情况下，结束处理。

在步骤S32中，控制部40将第二通信部38接收的通知显示在显示装置14。具体而言，在步骤S31中接收的通知为请求发送更新确认请求的通知的情况下，假定车辆不能够通过第一通信方式与服务器1进行通信的状况持续了规定期间。在这种情况下，为了实施软件的更新确认而在显示装置14中显示催促在通信环境良好的场所进行作为更新确认请求的发送契机的操作(例如，接通车辆的电源或点火开关的操作)的消息即可。此外，在步骤S32中接收的通知为请求发送更新有效化请求的通知的情况下，由于未实施利用了第一通信方式的通信的、基于OTA的软件更新的有效化的注册，所以只要在显示装置14显示催促基于OTA的软件更新的有效化的消息即可。在步骤S32中，控制部40也可以替代使显示装置14显示与第二通信部38接收的通知相关的信息，使扬声器等输出装置以声音的方式输出该信息。此后，处理进入步骤S33。

在步骤S33中，控制部40判断是否输入了向服务器1请求基于OTA的软件更新的有效化的指示。关于步骤S33的判断，例如能够根据针对在步骤S32中显示的催促基于OTA的软件更新的有效化的消息是否执行了设置在车辆上的输入装置的特定操作来实施。在步骤S33的判断为“是”的情况下，处理进入步骤S34，在除此以外的情况下，结束处理。

在步骤S34中，第一通信部37向服务器1发送请求基于OTA的软件更新的有效化的更新有效化请求。此后，结束处理。

此外，在步骤S32中，在显示了催促作为更新确认请求的发送契机的特定的操作(例如，接通车辆的电源或点火开关的操作)的消息之后，在由用户实施了该特定的操作的情况下，软件更新装置11执行图9所示的控制处理。

如上所述，本实施方式的服务器1具有第一通信部26和第二通信部27，第一通信部26能够使用第一通信方式与软件更新装置11之间进行双向的通信，第二通信部27能够使用第二通信方式向软件更新装置11发送信息。服务器1在未从软件更新装置11通过第一通信方式的通信接收特定的请求(更新确认请求或更新有效化请求)的情况下，通过第二通信方式的通信向软件更新装置11实施通知，由此能够请求该特定的请求的发送。以此方式，服务器1能够使用与第一通信方式不同的第二通信方式，从服务器向软件更新装置通知未发送与软件的更新处理相关的特定的请求，因此在软件更新装置11不能够向服务器1发送信息的情况下，能够向车辆通知存在电子控制单元的软件的更新数据、需要实施基于OTA的软件更新的有效化。

此外，服务器1在接收了更新有效化请求的情况下，通过更新包含在更新管理信息中的有效性信息，能够使基于OTA的电子控制单元的软件更新成为有效。

此外，服务器1在接收了更新确认请求的情况下，如果需要电子控制单元的软件的更新，则能够将存储在存储部中的更新数据发送到软件更新装置，并执行软件更新处理。

(变形例)

在上述的实施方式中，软件更新装置11还可以管理基于OTA的软件更新的有效状态。具体而言，软件更新装置11的存储部39存储有效性信息，该有效性信息表示使用了第一通信方式的通信的电子控制单元的软件更新是否为有效。在有效性信息未显示“有效”的情况下，软件更新装置11不能够实施基于OTA的电子控制单元的软件更新，例如，不能够向服务器1发送图9所示的步骤S21的更新确认请求。当存储在存储部39中的有效性信息被更新为“有效”时，第一通信部37使用第一通信方式的通信，向服务器1发送请求基于OTA的软件更新的有效化的更新有效化请求。

图11是表示变形例的软件更新装置执行的控制处理的一例的流程图。图11所示的控制处理是以输入了向服务器1请求基于OTA的软件更新的有效化的指示为契机而开始的处理，并能够与图10所示的控制处理分开执行。

在步骤S41中，控制部40将存储在存储部39中的有效性信息更新为有效。此后，处理进入步骤S42。

在步骤S42中，第一通信部37向服务器1发送请求基于OTA的软件更新的有效化的更新有效化请求。此后，结束处理。

此外，在变形例中，服务器1执行的控制处理与在图8中说明的处理相同，服务器1在接收了在步骤S42中发送的更新有效化请求时，将与发送了更新有效化请求的车辆对应的有效性信息(包含在更新管理信息中的有效性信息)更新为“有效”，并能够进行以后的基于OTA的电子控制单元的软件更新。

在本变形例中，软件更新装置11具有表示基于OTA的软件更新的有效状态的有效性信息，并能够以该有效性信息被更新为有效作为契机，向服务器1发送更新有效化请求。

(其他变形例等)

关于作为实施方式例示的服务器1的功能，也可以作为具有处理器(CPU)、存储器和存储装置的计算机执行的更新管理方法、或者使该计算机执行的更新管理程序、存储了更新管理程序的计算机可读取的非临时存储介质来实现。同样地，关于作为实施方式例示的软件更新装置11的功能，也可以作为具有处理器(CPU)、存储器和存储装置的车载计算机执行的更新控制方法、或者使该车载计算机执行的更新控制程序、存储了更新控制程序的计算机可读取的非临时存储介质来实现。

在上述的实施方式中，对在车辆侧设置在车载网络中的软件更新装置11作为主装置控制全部的电子控制单元13a～13d的软件更新的示例进行了说明，但也可以替代设置软件更新装置11而使电子控制单元13a～13d中的任一个具有图9以及图10所示的更新控制功能，并控制其他的电子控制单元的软件更新。此外，也可以替代设置软件更新装置11而将图9以及图10所示的更新控制功能设置在能够以有线的方式与车载网络2连接的外部设备中，并使用该外部设备实施电子控制单元13a～13d的软件更新处理。

本公开的技术能够适用于更新电子控制单元的软件的网络系统。

Claims (7)

1.一种服务器，其被配置为与软件更新装置进行通信，所述软件更新装置被配置为对搭载于车辆的电子控制单元的软件的更新进行控制，所述服务器的特征在于，具有：

第一通信部，其被配置为使用第一通信方式与所述软件更新装置实施双向的通信；

第二通信部，其被配置为使用与所述第一通信方式不同的第二通信方式向所述软件更新装置实施信息的发送；

控制部，其被配置为，对所述第一通信部是否使用所述第一通信方式从所述软件更新装置接收了使用了所述第一通信方式的通信的、用于确认是否存在所述电子控制单元的软件的更新数据的更新确认请求或者用于请求将所述电子控制单元的软件更新设为有效的更新有效化请求进行判断，

所述第二通信部被配置为，在所述控制部判断为所述第一通信部未从所述软件更新装置接收所述更新确认请求或所述更新有效化请求的情况下，使用所述第二通信方式向所述软件更新装置实施请求使用所述第一通信方式的通信发送所述更新确认请求或所述更新有效化请求的通知。

2.根据权利要求1所述的服务器，其特征在于，

还具有存储部，其存储更新管理信息，所述更新管理信息将识别所述车辆的车辆识别信息与表示使用了所述第一通信方式的通信的所述软件的更新是否为有效的有效性信息建立关联，

所述控制部被配置为，在所述第一通信部从所述软件更新装置接收了所述更新有效化请求作为特定的请求的情况下，将表示使用了所述第一通信方式的通信的所述软件的更新为有效的信息设定为，与发送了所述更新有效化请求的软件更新装置对应的所述有效性信息。

3.一种更新管理方法，由计算机执行，所述计算机具有处理器、存储器、存储装置，并且所述计算机被配置为，使用第一通信方式与对搭载于车辆的电子控制单元的软件的更新进行控制的软件更新装置实施双向的通信，使用与所述第一通信方式不同的第二通信方式向所述软件更新装置实施信息的发送，所述更新管理方法的特征在于，具有：

对是否使用所述第一通信方式从所述软件更新装置接收了使用了所述第一通信方式的通信的、用于确认是否存在所述电子控制单元的软件的更新数据的更新确认请求或者用于请求将所述电子控制单元的软件更新设为有效的更新有效化请求进行判断的步骤；

在所述计算机判断为未从所述软件更新装置接收所述更新确认请求或所述更新有效化请求的情况下，使用所述第二通信方式向所述软件更新装置实施请求使用所述第一通信方式的通信发送所述更新确认请求或所述更新有效化请求的通知的步骤。

4.一种非临时存储介质，存储能够由计算机的处理器执行并使所述处理器执行以下功能的更新管理程序，所述计算机具有所述处理器、存储器、所述存储介质，并且所述计算机被配置为，使用第一通信方式与对电子控制单元的软件的更新进行控制的软件更新装置实施双向的通信，使用与所述第一通信方式不同的第二通信方式向所述软件更新装置实施信息的发送，所述非临时存储介质的特征在于，所述功能具有：

对是否使用所述第一通信方式从所述软件更新装置接收了使用了所述第一通信方式的通信的、用于确认是否存在所述电子控制单元的软件的更新数据的更新确认请求或者用于请求将所述电子控制单元的软件更新设为有效的更新有效化请求进行判断的步骤；

在所述计算机判断为未从所述软件更新装置接收所述更新确认请求或所述更新有效化请求的情况下，使用所述第二通信方式向所述软件更新装置实施请求使用所述第一通信方式的通信发送所述更新确认请求或所述更新有效化请求的通知的步骤。

5.一种软件更新装置，被配置为对搭载于车辆的电子控制单元的软件的更新进行控制，所述软件更新装置的特征在于，具有：

第一通信部，其被配置为使用第一通信方式与服务器实施双向的通信；

第二通信部，其被配置为使用与所述第一通信方式不同的第二通信方式从所述服务器实施信息的接收；

控制部，其被配置为对所述第二通信部是否从所述服务器接收了通知进行判断，

所述控制部被配置为，在判断为所述第二通信部从所述服务器接收了所述通知的情况下，使输出装置输出与接收的通知相关的信息，使用所述第一通信方式的通信将用于确认是否存在所述电子控制单元的软件的更新数据的更新确认请求或者用于请求将所述电子控制单元的软件更新设为有效的更新有效化请求向所述服务器发送。

6.根据权利要求5所述的软件更新装置，其特征在于，

还具有存储部，所述存储部存储表示使用了所述第一通信方式的通信的所述电子控制单元的软件更新是否为有效的有效性信息，

所述第一通信部被配置为，在存储于所述存储部的有效性信息被更新为表示所述软件更新为有效的信息的情况下，向所述服务器发送用于请求使用了所述第一通信方式的通信的、将所述电子控制单元的软件更新设为有效的更新有效化请求。

7.一种软件更新系统，其特征在于，具有：

服务器；

软件更新装置，其被配置为对搭载于车辆的电子控制单元的软件的更新进行控制，

所述服务器具有：

第一通信部，其被配置为使用第一通信方式与所述软件更新装置实施双向的通信；

第二通信部，其被配置为使用与所述第一通信方式不同的第二通信方式向所述软件更新装置实施信息的发送；

第一控制部，其被配置为对所述第一通信部是否使用所述第一通信方式从所述软件更新装置接收了使用了所述第一通信方式的通信的、用于确认是否存在所述电子控制单元的软件的更新数据的更新确认请求或者用于请求将所述电子控制单元的软件更新设为有效的更新有效化请求进行判断，

所述第二通信部被配置为，在所述第一控制部判断为所述第一通信部未从所述软件更新装置接收所述更新确认请求或所述更新有效化请求的情况下，使用所述第二通信方式向所述软件更新装置实施请求使用所述第一通信方式的通信发送所述更新确认请求或所述更新有效化请求的通知，

所述软件更新装置具有：

第三通信部，其被配置为使用所述第一通信方式与所述服务器实施双向的通信；

第四通信部，其被配置为使用所述第二通信方式从所述服务器实施信息的接收；

第二控制部，其被配置为对所述第四通信部是否从所述服务器接收了所述通知进行判断，

所述第二控制部被配置为，在判断为所述第四通信部从所述服务器接收了所述通知的情况下，使输出装置输出与接收的通知相关的信息，使用所述第一通信方式的通信将用于确认是否存在所述电子控制单元的软件的更新数据的更新确认请求或者用于请求将所述电子控制单元的软件更新设为有效的更新有效化请求向所述服务器发送。