CN114270310A - 用于更新车辆的车载计算机的软件的更新方法和更新装置，所述车载计算机包括执行存储器和备份存储器 - Google Patents

Abstract

本发明涉及一种用于安装车辆的车载计算机的软件更新的安装方法，所述车载计算机包括存储器，所述存储器包括存储有当前软件的第一区域、第二区域以及向所述计算机指示执行哪些指令的指针，所述方法包括以下步骤：‑发射(311)请求以控制擦除所述第二区域，‑确定(312)所述更新是否是部分的，并且，在需要时：‑发射(313')请求以控制从所述第一区域向所述第二区域复制所述当前软件，‑发射(316)请求以控制部分地擦除所述第二存储器区域，‑发射(317)请求以控制在所述第二存储器区域中写入所述更新，以便获得经更新软件，‑发射(315)请求以控制激活所述经更新软件。

Description

用于更新车辆的车载计算机的软件的更新方法和更新装置， 所述车载计算机包括执行存储器和备份存储器

技术领域

本发明涉及由诊断工具远程实施对机动车辆的一个或多个计算机的软件更新，该软件更新还称为OTA(即Over The Air)更新。

背景技术

在本说明书的下文中，当待下载文件包含指令或软件的可执行代码时，还称之为软件的下载。

车载电子功能的日益复杂引起装配在机动车辆上的电子盒(或计算机)的增多。

为了限制由此产生的多样性，已决定在可能时把硬件的多样性转加到软件上并实施这些计算机的下载。该操作借助于连接到车辆的诊断插座上的非车载工具来实施，并且能够在一个或多个计算机的存储器中编程软件，所述软件确保了所述车辆通过考虑到该车辆所固有的特征(机动性、选项)而产生的合适运行。

在所述工具与所述一个或多个计算机之间的通信通常使用现有技术所已知的CAN500kbps技术或目前广泛应用在机动车世界中的Ethernet100Mbits/s技术，以便转移待编程数据。

在现有技术中，例如，如专利文件FR-A-2719924中所述，已知一些用于把文件下载到机动车辆的车载计算机中的下载方法和下载系统。该专利文件详细说明了在车辆的组装期间或在制造商的售后网络中在通过文件交换更正服务时所使用的程序的不同的接连步骤。

然而，为了使车辆对于其客户来说总是更加安全的，机动车制造商考虑可直接在最终客户处实施一些更新，就如在例如PC或智能手机的消费领域中已经存在的现象那样。事实上，存在于车辆中的连接部件已经能够与外部交换大量的信息(交通信息、导航信息、维修所需的数据或保险公司所需的数据等)，且这些交换正在增长。这由此导致增加的对于客户数据保护的需求以及考虑到网络攻击的可能性和所遭受的道路安全风险而增加的对于这些车辆的重大保护的需求。事实上，当检测到该类型的攻击并且检测到能够由此删除或降低所述风险的更正性“补丁(patch)”(软件或软件模块)的可用性时，安装该更正所可能的速度无疑是一重要方面。在该情况下，相较于有组织地把车辆召回到经授权的或独立的网点维修站中，OTA更新可能够节省大量时间。

不过，为了可直接在最终客户处实施该类型的操作，应考虑到会增加该操作的复杂性的多个方面。

在一些情况下，对于机动车的计算机的软件更新可能导致所述机动车不可用、又或引起对于车辆乘员和车辆环境的严重后果。这就是为什么，一些计算机、特别是与车辆动力性相关联的计算机的OTA更新需要称为回滚(Rollback)(或向后返回，又或返回到之前的状态)的机制，该机制能够使得在检测到在所述车辆的一个或多个计算机的软件更新期间发生问题的情况下返回到在前的软件配置。

该类型的问题可例如发生在目的地计算机尝试在例如损坏的存储单元上写入值的情况下、或在例如由于电磁场导致的传输错误的情况下、又或在其它情况下。

这种类型的问题通常由目的地计算机(例如借助于在错误接收的情况下检验CRC(即Cyclic Redoundancy Check(循环冗余校验)))检测出。在该情况下，信息传输到主计算机以要求执行回滚进程。

例如由专利文件US20190057214描述了一种更新控制装置，所述更新控制装置包括第一通信单元、第二通信单元和控制单元。所述第一通信单元配置用于通过逐个区块(bloc)地使用数据库上的补丁数据来向更新终端中接收每个软件区块的补丁数据以及每个软件认证区块所需的第一认证数据。

所述控制单元配置用于要求所述终端在接收到指示第M区块(M>1)认证失败的更新结果的情况下通过使用补丁数据来执行回滚以从第一区块至第M-1区块进行复原。

该解决方案所具有的缺点在于，需在回滚程序过程中生成软件区块并且验证所述软件区块的完整性。这增加了所述回滚程序的失败风险。

发明内容

本发明的目的在于提供一种解决方案以特别是在更新文件损坏时使车辆计算机迅速地恢复在软件更新之前的状态。

本发明特别地涉及一种用于安装车辆的车载计算机的软件更新的安装方法，所述车载计算机包括存储器，所述存储器包括存储有当前软件的第一区域、第二区域以及向所述计算机指示执行哪些指令的指针，所述指针指示所述第一存储器区域，其特征在于，所述安装方法包括以下步骤：

-发射请求以控制擦除所述第二区域，

-确定所述更新是否是部分的，并且，当所述更新是部分的时：

-发射请求以控制从所述第一区域向所述第二区域复制所述当前软件，

-发射请求以控制部分地擦除所述第二存储器区域，

-发射请求以控制在所述第二存储器区域中写入所述更新，以便获得经更新软件，

并且，当没有检测到任何错误时，则：

-发射请求以控制激活所述经更新软件，所述激活包括修改所述指针，以使得所述指针指示所述第二存储器区域。

本发明的优点在于，当对于经接收数据的完整性测试以失败为结果时，能够无延迟地中断安装程序并且继续使用所述执行存储器中未经修改的当前软件。

而且，(例如在用户注意到故障之后)回滚步骤可通过再次修改所述指针以返回到一直存在于所述存储器区域中的软件来轻松实施。

因此，本发明提供了时间的节省以及经加强的安全性，因为本发明消除了在现有技术的解决方案中在回滚阶段过程中不可避免地与所述软件区块的接连生成操作有关的数据的额外损坏风险。

有利地，根据本发明的用于更新计算机软件的方法还包括以下步骤：

-发射请求以控制在所述第二区域中写入所述更新，

-发射请求以控制检验所述第二区域中的经更新软件的完整性。

有利地，根据本发明的用于更新计算机软件的更新方法还包括用于返回到在所述更新之前的状态的返回步骤，所述返回到之前的状态包括修改所述指针，以使得所述指针指示所述第一存储器区域。

有利地，根据本发明的用于更新计算机软件的更新方法还包括接续在检测到错误之后的用于发射请求以控制停止安装所述更新的发射步骤。

有利地，停止安装所述更新包括发射供驾驶员所用的信息以向所述驾驶员通知停止所述安装。

有利地，根据本发明的用于更新计算机软件的更新方法还包括用于发射请求以控制检验所述第二区域中的当前软件的完整性的发射步骤。

有利地，根据本发明的用于更新计算机软件的更新方法还包括用于发射请求以控制检验所述第二区域中的经更新软件的完整性的发射步骤。

本发明还涉及一种用于更新计算机软件的更新装置，所述装置包括与至少一个处理器相关联的存储器，所述至少一个处理器配置用于实施根据本发明的方法的步骤。

本发明还涉及一种车辆，其特征在于，所述车辆包括根据本发明的用于更新计算机软件的更新装置。

附图说明

通过阅读本发明下文中的非限制性的实施例的详细说明和附图，本发明的其它特征和优点将更加清楚，在所述附图中：

-图1示意性地示出了根据本发明具体实施例的系统；

-图2示意性地示出了根据本发明具体实施例的计算机；

-图3示意性地示出了根据本发明具体实施例的更新方法。

-图4示出了在更新过程中计算机存储器的接连状态的示例。

具体实施方式

参考图1，根据本发明的系统包括车辆101，该车辆与远程更新服务器102连接。

车辆101包括多个计算机ECU1、ECU2、ECU3，所述多个计算机的车载通信单元借助于无线连接与服务器102通信。通常，所述无线连接或联接是无线电波式连接(3G、4G等)。

计算机ECU1、ECU2、ECU3彼此之间借助于数据总线104(例如CAN类型的数据总线)通信。

非车载服务器102例如是包括至少一个存储器和处理器的一般计算机。

车辆101和非车载服务器102经由广域网105(或WAN，即“Wide Area Network”)通信，所述广域网例如是固定通信网络103(例如车辆通过无线联接(3G、4G等)所连接至的Internet网络)。

允许计算机ECU2至ECU3的更新的计算机ECU1(还称为更新管理计算机(又或FOTA(即Firmware Over-The-Air)主机))为此布置有能够把接收到的数据文件转移到目的地计算机ECU2、ECU3所期待的帧中的机制以安装软件。要注意到，在车辆中起到FOTA主机作用的计算机可能是或可能并不是与布置有无线通信功能的计算机相同的计算机。

操作员可经由终端107实施检验并且向车辆101远程传输指令。这些指令通过波道传输至车辆101，所述波道可以是4G、WIFI或任何其它未来无线通信技术。

计算机ECU1、ECU2、ECU3可在维修站中实施更新。在维修站中的软件更新响应于特定程序(图1的情况1)，在该特定程序过程中，操作员需对经委托给他的车辆负责。鉴于此，该操作员在通过经接通在车辆101的专用插座108上的工具106发起该操作之前把所述车辆安置在“安全可靠”的环境中。然后，一旦该操作结束，该操作员执行一些检查以便确保该操作良好运行。在检测到问题的情况下，在所述程序的开展期间或在所述更新之后，技术员在把车辆归还给客户之前采取更正异常所需的措施(新尝试、更换零件等)。因此，维修员是安全链中的一个重要环节，但还负责确保经实施的操作的质量。

在客户处实施OTA更新时(图1的情况2)，这一切不可能，并因此应在每个计算机中添加使得能够在发生问题的情况下返回到在前的版本的机制。

为了实施该专利提案中所描述的操作，所述FOTA主机与所述目标计算机经由所述车辆中可用的通信网络(例如CAN、Ethernet或其它)通信。为此，所述FOTA主机使用专用通信协议，例如，UDS协议(ISO14229标准)，其通常运用于实施对于机动车辆中的车载计算机的诊断或软件下载。

参考图2，根据本发明的计算机200包括配备有Flash存储器201的微控制器。Flash存储器201包括：

-第一区域Z1，也称为执行区域，该区域用于执行经下载软件，并且具有至少等于给定尺寸N的尺寸，

-第二区域Z2，也称为备份区域，该区域具有至少等于所述给定尺寸N的尺寸，并且用作备份存储器，所述备份存储器能够使得在所述安装期间在发生问题的情况下返回到所述软件的之前版本，

Flash存储器201的尺寸因此是所述给定尺寸N的至少两倍。

Z2可以是与所述执行存储器分开的存储模块，或者构成同一存储模块的一部分同时作为与第一区域Z1邻接的区域。

在图2的示例中，地址范围00000h-0FFFFh(h表示是十六进制)和10000h-1FFFFh分别与第一区域Z1和第二区域Z2对应。因此，由创建者安设到微控制器的硬件中的用于把一个或多个存储器分区成2个区域的该分区机制需构成需可用的组成部分的本地特性列表的一部分。用于选择待执行软件的存储区域的选择原则借助于称为“基地址(Base address)”的第一指针来实施。该第一指针包含呈现存储器地址形式的信息，该信息指示所述微控制器是否需在第一存储器区域Z1或第二存储器区域Z2中寻找待执行指令。在图2的示例上，该第一指针因此仅可采取2个值：当所述待执行软件位于在第一资料库中时，则为00000h，当所述软件位于在第二资料库中时，则为10000h。然后在该第一指针处，可根据所述微控制器的本地方法添加所述待执行指令的地址。由此产生的名为“存储地址(memory address)”的地址能够回收正确存储器区域中待执行的当前指令。

在本说明书的下文中，可见，对于新安装的更新的激活因此简单地包括用包含经更新软件(版本N+1)的区域的基地址修改“基地址”的参数。同样地，回滚通过录入到“基地址”(即包含之前版本(版本N)的存储区域的基地址)中来实施。

现在将参照图3和图4描述根据本发明的方法，图3示出了所述方法的步骤，图4示出了所述方法的实施例。

在图4的示例中，待更新计算机200或目标计算机的执行存储器Z1中布置有软件(版本N)。

有利地，在目标计算机更新之前，所述FOTA主机通过使用用于请求在再编程会话中进行输入的输入请求来把计算机200安置在专用于编程的专用状态中(其中，功用被停用)。目标计算机200仅在满足安全条件(例如：车辆停止、传动链被停用等)时才接受执行该请求。

在再编程会话中，所述FOTA主机与所述目标计算机200的引导软件直接通信。根据由所述FOTA主机发送的请求，所述计算机的引导软件可在自身所布置有的两个存储器(执行存储器ME或备份存储器MS)的其中之一上执行不同的操作(写入、复制、完整性检查)。图3描述了待由所述FOTA主机实施以把新软件安装到所述目标计算机200中的一系列动作。

在执行根据本发明的更新方法之前，目标计算机200处在称为初始状态的第一状态501中，其中：第一区域Z1包括当前软件(版本N)。

在第一步骤311中，所述FOTA主机发送请求以要求所述目标计算机200擦除第二区域Z2。

在第二步骤312中，所述FOTA主机确定所述更新是与新软件的完全安装对应还是与新软件的部分安装对应。所述完全安装理解成由所述FOTA主机下载的更新包括所述软件n+1的整体且无需考虑到所述当前软件n来构成新版本。相反地，所述部分安装仅传输待更新软件的一部分，该部分需由所述软件n的未经修改的部分补充。

当所述更新与所述完全安装对应时，所述FOTA主机向所述目标计算机发送313所述更新并且控制在第二区域Z2中写入所述更新。

所述FOTA主机发送314请求以要求所述目标计算机检查经复制到第二区域Z2中的数据的完整性。该检验可借助于CRC(即Cyclic Redoundancy Check)或现有技术所已知的任何其它方式(例如：借助于散列函数对于数据内容的“散列”的计算以及对于结果与由所述FOTA主机预先传输的参考值的比较)实施。当所述存储器由多个数据区块组成时，每个区块布置有自身所固有的完整性检查机制(其基于相同方式或不同方式)。

在该步骤结束后，目标计算机200处在第二状态502中，其中：第一区域Z1包括所述当前软件(版本N)，并且，第二区域Z2包括经更新软件(版本N+1)。

所述FOTA主机由此控制激活315所述经更新软件(版本N+1)。

当所述更新不与所述完全安装对应时，则下文中的部分描述了所述方法的步骤。所述FOTA主机所包含的更新不包括所述数据的整体。

所述FOTA主机发送请求以控制从第一区域Z1向第二区域Z2再复制313'所述当前软件(版本N)。

所述FOTA主机接下来发送请求以控制检验314备份存储器Z2中的数据(换句话说，构成副本的数据)的完整性。这两个操作由在FOTA主机与所述目标计算机之间交换的一组UDS请求触发和监督，但在所述目标计算机内部开展。在结果为否定的情况下，所述FOTA主机中断所述安装，并且，所述目标计算机在安装尝试结束后继续执行经存储在第一区域Z1中的应用。

在该步骤结束后，目标计算机200处在第三状态503中，其中：第一区域Z1包括所述当前软件(版本N)，并且，第二区域Z2包括所述当前软件(版本N)的复制品。

当完整性测试是肯定的时，所述安装的后续部分包括擦除316所述存储器的与所述更新的存储场地对应的部分(或区段)，以使得该更新可作为补充地录入已经存在于第二区域Z2中的数据，该数据来源于对于所述版本N的预先再复制。

在该步骤结束后，目标计算机200处在第三状态504中，其中：第一区域Z1包括所述当前软件(版本N)，并且，第二区域Z2包括所述当前软件(版本N)的复制品，其中，已通过擦除存储器从该复制品中移除了待更新部分。

接下来，所述FOTA主机向所述目标计算机传输317与所述更新对应的数据，所述目标计算机在第二区域Z2中写入这些数据，以便补充已经存在的数据并且由此构建所述版本N+1和由此达到状态505。

所述FOTA主机控制在整个第二区域Z2上实施新的完整性测试318，以便考虑到与新安装的软件部分有关的修改。

所述FOTA主机由此控制激活315所述经更新软件(版本N+1)。

要注意到，无论是哪个安装阶段(特别是旨在编程所述更新的操作)，当检测到错误(Flash存储器的编程错误，在多次尝试后的否定响应)时，所述FOTA主机中断320所述安装，而不激活第二区域Z2的软件。通过继续执行经包含在第一区域Z1中的软件，对于所述车辆的使用由此仍然是可能的。由此向客户显示错误信息以指出所述安装的失败，该客户由此需把自身的车辆交到维修站中。

当在成功安装结束后证实了由客户检测到车辆异常运行时，可通过执行回滚来返回到之前版本(版本N)。在具有双资料库的存储器的情况下，该回滚包括简单地重新激活仍然存在于第一区域(Z1)中的软件的执行。无需实施任何再复制，所述回滚操作此处包括把执行指针重新分配到所述第一区域(Z1)，使得在所述计算机的每次上电(车辆起动)时将要执行的软件是所述第一区域(Z1)的软件。

需要明确的是，在所述部分安装的情况下，为了简单起见，示出了单个模块，但完全可考虑到在Flash存储器中安装多个模块，无论所述多个模块是否相邻。用于接收所述更新的一个或多个场地在用于擦除然后写入的请求的参数中注明。

根据现有技术所已知的机制，激活步骤315的执行或任选回滚的执行通过把执行地址简单地重新分配到包含新软件(激活)的存储器区域或包含旧版本的存储器区域(其用作备份(回滚)存储器)来执行。

可注意到，对于“执行存储器”(或执行区域)以及“备份存储器”(或备份区域)的分配因此不是固定的，因为给定的资料库在每次更新时交替地变成执行存储器然后备份存储器。事实上，当成功的更新从该更新应当确保的服务角度来看被证实时(在一定时间期间不存在由客户触发的回滚)，所述备份存储器变得可用于接受任选新更新，并且该备份存储器由此是执行存储器，该执行存储器将在所述新更新的安装期间变成备份存储器。在每次成功更新时，对于执行存储器和回滚存储器的分配将因此颠倒。

还可注意到，为了简单起见，图3上仅示出了与在完整性测试期间发生的失败有关的输出情况。然而，在每个步骤过程中，特别是在所述存储器的擦除过程中和在从所述FOTA主机向所述存储器中转移-写入数据的阶段过程中，安装程序的良好开展得到了良好的监督。当在多次(例如3次)尝试之后发生错误时，所述安装程序结束，以所述更新的失败告终。

Claims (9)

1.一种用于安装车辆的车载计算机的软件更新的安装方法，所述车载计算机包括存储器，所述存储器包括存储有当前软件的第一区域(Z1)、第二区域(Z2)以及向所述车载计算机指示执行哪些指令的指针，所述指针指示所述第一存储器区域(Z1)，其特征在于，所述安装方法包括以下步骤：

-发射(311)请求以控制擦除所述第二区域(Z2)，

-确定(312)所述更新是否是部分的，并且，当所述更新是部分的时：

-发射(313')请求以控制从所述第一区域(Z1)向所述第二区域(Z2)复制所述当前软件，

-发射(316)请求以控制部分地擦除所述第二存储器区域(Z2)，

-发射(317)请求以控制在所述第二存储器区域(Z2)中写入所述更新，以便获得经更新软件，

并且，当没有检测到任何错误时，则：

-发射(315)请求以控制激活所述经更新软件，所述激活包括修改所述指针，以使得所述指针指示所述第二存储器区域(Z2)。

2.根据权利要求1所述的用于更新计算机软件的更新方法，其中，所述更新是完全的：所述更新方法还包括以下步骤：

-发射(313)请求以控制在所述第二区域(Z2)中写入所述更新，

-发射(314)请求以控制检验所述第二区域(Z2)中的经更新软件的完整性。

3.根据上述权利要求中任一项所述的用于更新计算机软件的更新方法，所述更新方法还包括用于返回到在所述更新之前的状态的返回步骤，所述返回到之前的状态包括修改所述指针，以使得所述指针指示所述第一存储器区域(Z1)。

4.根据上述权利要求中任一项所述的用于更新计算机软件的更新方法，所述更新方法还包括接续在检测到错误之后的用于发射请求以控制停止安装所述更新的发射步骤(320)。

5.根据权利要求4所述的用于更新计算机软件的更新方法，其中，控制停止安装所述更新包括发射供驾驶员所用的信息以向所述驾驶员通知停止所述安装。

6.根据上述权利要求中任一项所述的用于更新计算机软件的更新方法，所述更新方法还包括用于发射请求以控制检验所述第二区域(Z2)中的当前软件的完整性的发射步骤(314)。

7.根据上述权利要求中任一项所述的用于更新计算机软件的更新方法，所述更新方法还包括用于发射请求以控制检验所述第二区域(Z2)中的经更新软件的完整性的发射步骤(318)。

8.一种用于更新计算机软件的更新装置，所述更新装置包括与至少一个处理器相关联的存储器，所述至少一个处理器配置用于实施根据权利要求1至7中任一项所述的更新方法的步骤。

9.一种车辆，其特征在于，所述车辆包括根据权利要求8所述的用于更新计算机软件的更新装置。

Images