CN114661331A - 控制系统、移动体、服务器、控制方法、更新控制方法和计算机可读存储介质 - Google Patents

Abstract

本发明涉及控制系统、移动体、服务器、控制方法、更新控制方法和计算机可读存储介质。控制系统具备控制移动体的多个移动体控制部、和进行移动体的程序更新的控制的更新控制部，更新控制部在移动体起动时实施获取既是多个移动体控制部的更新所需的信息且又由多个移动体控制部存储的管理信息的配置同步，并获取从多个移动体控制部之一的第一移动体控制部获取的第一管理信息和更新控制部所存储的第二管理信息，在第一管理信息和第二管理信息一致的情况下从服务器获取多个移动体控制部的更新程序的有无，在第一管理信息和第二管理信息不一致的情况下停止配置同步。

Description

控制系统、移动体、服务器、控制方法、更新控制方法和计算机 可读存储介质

技术领域

本发明涉及控制系统、移动体、服务器、控制方法、更新控制方法和计算机可读存储介质。

背景技术

在专利文献1中，作为车辆用的ECU，公开了能够重写应用程序的ECU。

专利文献1：日本特开2020-27666号公报

发明内容

在第一方面中，提供一种控制系统。控制系统具备控制移动体的多个移动体控制部。控制系统具备进行移动体的程序更新的控制的更新控制部。更新控制部在移动体起动时，实施获取既是多个移动体控制部的更新所需的信息且又由多个移动体控制部存储的管理信息的配置同步，并且获取从多个移动体控制部之一的第一移动体控制部获取的第一管理信息以及更新控制部所存储的第二管理信息，当第一管理信息与第二管理信息一致时，从服务器获取多个移动控制部的更新程序的有无，当第一管理信息与第二管理信息不一致时，停止配置同步。

控制系统可以具备显示控制部，所述显示控制部控制向移动体的用户显示信息的显示部。当第一管理信息与第二管理信息不一致时，更新控制部可以将报错信息输出到显示控制部。

控制系统可以具备显示控制部，所述显示控制部控制向移动体的用户显示信息的显示部。当至少第一管理信息是预定初始值时，更新控制部可以将报错信息输出到显示控制部。

控制系统可以具备显示控制部，所述显示控制部控制向移动体的用户显示信息的显示部。当第二管理信息是预定的初始值并且第一管理信息不是初始值时，更新控制部可以将报错信息输出到显示控制部。

更新控制部可以将从多个移动控制部获取的多个管理信息发送到服务器，在第二管理信息是预定初始值并且多个管理信息一致的情况下，从服务器获取用于使第二管理信息与多个管理信息一致的更新控制部的更新程序。

在第二方面中，提供一种移动体。移动体具备所述控制系统。

移动体可以是车辆。

在第三方面中，提供一种服务器。服务器向移动体发送用于进行移动体的程序更新的更新程序。移动体具备控制移动体的多个移动体控制部和进行移动体的程序更新的控制的更新控制部。服务器具备获取部，所述获取部获取从移动体发送的、既是多个移动体控制部的更新所需的信息且又由多个移动体控制部存储的多个管理信息以及由更新控制部存储的第二管理信息。服务器具备发送控制部，所述发送控制部控制发送部，所述发送部将多个移动体控制部中的至少一个移动体控制部的更新程序发送到移动体。当多个管理信息之一的第一管理信息与第二管理信息一致时，发送控制部将更新程序发送到移动体。当第一管理信息与第二管理信息不一致时，发送报错信息。

获取部还可以获取从移动体发送的多个移动体控制部和更新控制部的各自的识别信息。服务器可以具备管理部，当多个管理信息与第二管理信息一致时，所述管理部将第二管理信息与多个移动体控制部和更新控制部的各自的识别信息建立对应地管理。当第二管理信息是预定初始值时，在由管理部以与和第一管理信息一致的管理信息建立对应的方式管理的多个移动体控制部的各自的识别信息与由获取部获取的多个移动体控制部的各自的识别信息相符的情况下，发送控制部可以将用于使第二管理信息与多个管理信息一致的更新控制部的更新程序发送到移动体。

获取部还可以获取从移动体发送的多个移动体控制部和更新控制部中的各自的识别信息。服务器可以具备管理部，当多个管理信息与第二管理信息一致时，所述管理部将第二管理信息与多个移动体控制部和更新控制部的各自的识别信息建立对应地管理。服务器可以具备确定部，当在多个管理信息和第二管理信息中存在与其它的管理信息不一致的管理信息时，所述确定部将由管理部管理的多个移动体控制部和更新控制部的各自的识别信息与由获取部获取的多个移动体控制部和更新控制部的各自的识别信息进行比较，从多个管理信息和第二管理信息中确定应存储在多个移动体控制部和更新控制部中的一个管理信息。发送控制部可以将用于使多个移动体控制部和更新控制部的管理信息与由确定部确定的管理信息一致的更新程序发送到移动体。

在第四方面，提供一种控制方法。控制方法具有以下步骤：在移动体起动时，实施获取既是控制移动体的多个移动体控制部的更新所需的信息且又由多个移动体控制部存储的管理信息的配置同步，并且获取从多个移动体控制部之一的第一移动体控制部获取的第一管理信息和进行移动体的程序更新的控制的更新控制部所存储的第二管理信息。控制方法具有当第一管理信息与第二管理信息一致时从服务器获取多个移动控制部的更新程序的有无的步骤。控制方法具有当第一管理信息与第二管理信息不一致时停止配置同步的步骤。

在第五方面，提供一种程序。程序使计算机作为控制移动体的多个移动体控制部发挥作用。程序使计算机作为进行移动体的程序更新的控制的更新控制部发挥作用。基于程序，更新控制部进行如下处理：在移动体起动时，实施获取既是多个移动体控制部的更新所需的信息且又由多个移动体控制部存储的管理信息的配置同步，并且获取从多个移动体控制部之一的第一移动体控制部获取的第一管理信息以及更新控制部所存储的第二管理信息，当第一管理信息与第二管理信息一致时，从服务器获取多个移动控制部的更新程序的有无，当第一管理信息与第二管理信息不一致时，停止配置同步。

在第六方面，提供一种更新控制方法。更新控制方法进行移动体的程序更新。移动体具备控制移动体的多个移动体控制部和进行移动体的程序更新的控制的更新控制部。更新控制方法具有获取从移动体发送的、既是多个移动体控制部的更新所需的信息且又由多个移动体控制部存储的多个管理信息以及更新控制部所存储的第二管理信息的步骤。更新控制方法具有当多个管理信息之一的第一管理信息与第二管理信息一致时，将多个移动体控制部中的至少一个移动体控制部的更新程序发送到移动体的步骤。更新控制方法具有当第一管理信息与第二管理信息不一致时发送报错信息的步骤。

在第七方面，提供一种程序。程序使计算机作为向移动体发送用于更新移动体的程序的更新程序的服务器发挥作用。移动体具备控制移动体的多个移动体控制部和进行移动体的程序更新的控制的更新控制部。程序使计算机作为获取部发挥作用，该获取部获取从移动体发送的、既是多个移动体控制部的更新所需的信息且又由多个移动体控制部存储的多个管理信息以及由更新控制部存储的第二管理信息。程序使计算机作为发送控制部发挥作用，该发送控制部控制发送部，该发送部将多个移动体控制部中的至少一个移动体控制部的更新程序发送到移动体。基于程序，发送控制部进行如下处理，当多个管理信息之一的第一管理信息与第二管理信息一致时，将更新程序发送到移动体，当第一管理信息与第二管理信息不一致时发送报错信息。

另外，上述发明的概要并不列举本发明的所有必要特征。另外，这些特征的子组合也可以是发明。

附图说明

图1示意性地示出一个实施方式涉及的更新系统10。

图2示意性地示出控制系统200的系统构成。

图3示出服务器80的系统构成。

图4示出ECU202所存储的配置信息的数据结构的示例。

图5示出由服务器80的管理部330管理的ECU信息的数据结构的示例。

图6是示出与由控制系统200执行的控制方法有关的处理过程的流程图。

图7是示出与由服务器80执行的更新控制方法有关的处理过程的流程图。

图8示出计算机2000的示例。

具体实施方式

以下，通过发明的实施方式对本发明进行说明，但以下的实施方式并不限定所要求保护的发明。另外，在实施方式中说明的特征的组合并非全部都是本发明的解决手段所必须的。

图1示意性地示出一个实施方式涉及的更新系统10。更新系统10具备车辆20和服务器80。车辆20具备控制系统200。控制系统200负责车辆20的控制和通过通信网络90与服务器80之间的通信。通信网络90包括因特网等的IP网络、P2P网络、包含VPN的专用线路、虚拟网络、移动通信网络等。

在车辆20中，控制系统200具备进行车辆20的控制的多个ECU(ElectronicControl Unit；电子控制单元)。控制系统200通过通信网络90利用无线通信从服务器80接收用于进行各ECU的程序更新的更新程序。控制系统200通过接收的更新程序对各ECU进行重编程。重编程以控制系统200所具备的各ECU的功能的升级等为目的来执行。由此，控制系统200通过利用OTA(Over The Air；空中下载)对ECU进行重编程来更新ECU。

控制系统200中的各ECU存储分配给每个车辆20的特定管理信息和作为每个ECU的识别信息的序列号。服务器80将管理信息与各ECU的识别信息建立对应地来管理。在本实施方式中，管理信息被表示为“VIN”。另外，在本实施方式中，ECU的识别信息是序列号。ECU的识别信息由“SN”表示。

当车辆20的IG(点火)电源接通时，控制系统200从各ECU获取VIN和序列号，并将包括VIN和序列号的配置信息发送到服务器80。当在接通IG电源时获取的各ECU的VIN一致时，控制系统200将包括VIN的配置信息发送到服务器80。服务器80基于从车辆20接收的配置信息检索车辆20用的更新程序的有无，并且当存在更新程序时将更新程序发送到车辆20。另一方面，当各ECU的VIN不一致时，控制系统200输出报错并通知车辆20的用户在经销商等处设定正规的VIN。

例如，当在过去维护车辆20时更换了ECU时，存在没有适当地设置更换的VIN就将车辆20返回给用户的情况。例如，当安装在车辆20上的ECU是过去在其他的车辆中使用的ECU时，存在在ECU中写入有其他的车辆的VIN的状态下就被安装在车辆20上的情况。在这种情况下，由于没有正确地设置VIN，服务器80有时不能向车辆20提供适当的更新程序。另一方面，由于控制系统200在IG电源接通时确认VIN，因此可以抑制不适当的更新程序的分发。

另外，当在维护车辆时更换新的ECU时，存在将对VIN设定了初始值的ECU安装在车辆20上的情况。当IG电源接通并且特定的ECU的VIN是初始值时，车辆20向服务器80请求用于更新ECU的VIN的更新程序。当其他的ECU的VIN和序列号的组合与由服务器80管理的组合相符时，服务器80将用于使初始值的VIN与其他的ECU的VIN一致的更新程序发送到车辆20。另一方面，当其他的ECU的VIN和序列号的组合与由服务器80管理的组合不相符时，服务器80输出报错并通知车辆20的用户在经销商等处设置正规的VIN。

由此，根据更新系统10，即使在过去维护期间更换了ECU并且没有适当地设置VIN的情况下，也能够基于由服务器80管理的配置信息来提高可设置适当的VIN的可能性。此外，即使当同时更换多个ECU等而不能恢复到正确的VIN时，也可以基于配置信息的一致性来检测不适当的状态，并且可以在不执行不适当的OTA处理的情况下向用户进行通知。

图2示意性示出控制系统200的系统构成。控制系统200具备TCU201、ECU202、ECU204、ECU205、MID298和IVI299。

ECU202通过车载通信线路280连接到TCU201、ECU204和ECU205。TCU201、ECU204和ECU205通过车载通信线路280以及ECU202来彼此通信。ECU202整体地控制TCU201、ECU204和ECU205。例如，车载通信线路280可以构成为包含CAN(Controller Area Network；控制器局域网)、以太网等。

TCU201是远程信息处理控制部(Telematics Control Unit)。TCU201主要负责移动通信。TCU201在ECU202的控制下与服务器80之间进行数据的收发。TCU201是通信部的示例。

MID298和IVI299经由车载通信线路280连接到ECU202。MID298和IVI299可以作为显示控制部发挥功能。

ECU204和ECU205分别是用于控制车辆20的车辆控制部。ECU204和ECU205是“移动体控制部”的示例。ECU204和ECU205控制车辆20所具备的各种设备。例如，ECU204控制作为燃料喷射装置的FI294。ECU205控制作为电池的BATT295。

在本实施方式中，示出了控制系统200具备TCU201、ECU202、ECU204和ECU205的系统构成，但是控制系统200的系统构成不限于本实施方式的示例。另外，在本实施方式中，作为示例，设为能够成为程序更新的对象的ECU是ECU202、ECU204和ECU205，但是能够成为程序更新的对象的ECU不限于这些ECU。另外，ECU202本身是更新对象，并且作为用于控制ECU204和ECU205的程序更新的更新控制部发挥功能。

当车辆20起动时，ECU202实施用于获取是ECU204和ECU205的更新所需的信息并且由ECU204和ECU205所存储的VIN的配置同步，并且获取从ECU204和ECU205之一的第一ECU获取的第一VIN和ECU202所存储的第二VIN。当第一VIN与第二VIN一致时，ECU202从服务器80获取ECU204和ECU205的更新程序的有无，当第一VIN与第二VIN不一致时停止配置同步。另外，第一VIN对应于稍后描述的“VIN1”或“VIN2”，第二VIN对应于稍后描述的“VIN0”。

ECU202控制MID298和IVI299。MID298和IVI299具备用于向车辆20的用户显示信息的显示部。当第一VIN与第二VIN不一致时，ECU202通过将报错信息输出到IVI299来向车辆20的用户通知报错信息。另外，当至少第一VIN是预定初始值时，ECU202可以将报错信息输出到IVI299。当第二VIN是预定初始值并且第一VIN不是初始值时，ECU202可以将报错信息输出到IVI299。

ECU202将从ECU204和ECU205获取的多个VIN发送到服务器80，并且当第二VIN是预定初始值并且其他的多个VIN一致时，ECU202从服务器80获取用于使第二VIN与其他的多个VIN一致的ECU202的更新程序。

图3示出了服务器80的系统构成。服务器80具备通信部390、存储部380和处理部300。

处理部300例如由包括处理器的运算处理装置来实现。存储部380具备非易失性存储介质而实现。处理部300使用存储部380中保存的信息进行处理。通信部390承担与包括车辆20的多个车辆之间的通信。

处理部300具备获取部310、管理部330、确定部340和通信控制部370。通信控制部370控制通信部390。通信控制部370作为“发送控制部”发挥功能。

服务器80通过向车辆20发送用于更新车辆20的程序的更新程序来控制车辆20的程序更新。获取部310获取从车辆20发送的VIN。VIN是ECU202、ECU204和ECU205的更新所需的信息，并且是ECU202、ECU204和ECU205所存储的管理信息的示例。通信控制部370控制用于将ECU204和ECU205中的至少一个的更新对象的ECU的更新程序发送到车辆20的发送部。当多个VIN之一的第一VIN和第二VIN一致时，通信控制部370向车辆20发送更新程序，当第一VIN和第二VIN不一致时发送报错信息。由此，可以抑制执行不适当的程序更新。

获取部310还获取从车辆20发送的ECU204、ECU205和ECU202各自的SN。当多个VIN与第二VIN一致时，管理部330将第二VIN与ECU204、ECU205和ECU202各自的识别信息建立对应地管理。当第二VIN是预定初始值时，在由管理部330与和第一VIN一致的VIN建立对应地管理的ECU204和ECU205各自的识别信息与由获取部310获取的ECU204和ECU205各自的识别信息相符的情况下，通信控制部370将用于使第二VIN与多个VIN一致的ECU202的更新程序发送到车辆20。

当在多个VIN和第二VIN中存在与其他VIN不一致的VIN时，确定部340将由管理部330管理的ECU204、ECU205和ECU202各自的识别信息与由获取部310获取的ECU204、ECU205和ECU202各自的识别信息进行比较，并从多个VIN和第二VIN中确定要存储在ECU204、ECU205和ECU202中的一个VIN。通信控制部370将用于使ECU202、ECU204和ECU205的VIN与由确定部340确定的VIN一致的更新程序发送到车辆20。由此，即使在维护车辆20时没有为更换的ECU设定适当的VIN，也可以提高可恢复VIN的可能性。

图4示出ECU202所存储的配置信息的数据结构的示例。配置信息存储在ECU202所具备的非易失性存储器中。配置信息包括作为数据项的“ECU”和“单元信息”。“ECU”是用于确定ECU的信息。图4中的“ECU0”表示管理OTA的ECU202。符号“ECU1”表示控制FI294的ECU204。“ECU2”表示控制BATT295的ECU205。“单元信息”包括对应的ECU的SN、VIN和控制程序的版本信息等。

当IG电源接通时，ECU202从ECU204和ECU205获取各自的单元信息。当从每个ECU收集的单元信息中包括的VIN一致时，ECU202存储配置信息。由此，ECU202使存储在ECU202中的信息与存储在各ECU中的信息同步。

另外，当IG电源接通时，ECU202发送包括从ECU204和ECU205获取的单元信息以及ECU202本身的单元信息的配置信息。服务器80存储从ECU202接收的配置信息。由此，服务器80使存储在服务器80中的信息与存储在ECU202中的信息同步。

图5示出由服务器80的管理部330管理的ECU信息的数据结构的示例。ECU信息存储在存储部380中。配置信息包括作为数据项的“VIN”、“SN0”、“SN1”和“SN2”。

“VIN”是包括在从一辆车辆接收的配置信息中的VIN。“SN0”、“SN1”和“SN2”是包括在配置信息中的序列号SN。在图5中，“SN0”表示管理OTA的ECU(车辆20中的ECU202)。“SN1”表示控制燃料喷射装置的ECU(例如，车辆20中的ECU203)，“SN2”表示控制电池的ECU(例如，车辆20中的ECU205)。

如图5所示，当获取部310获取了包括在配置信息中的每个ECU的SN时，管理部330以包括在由获取部310获取的配置信息中的VIN一致为条件，通过将VIN与各ECU的SN建立对应来管理ECU信息。由此，服务器80可以管理对由VIN确定的车辆设定了哪个序列号的ECU。

作为一个示例，假设当在维护车辆20时用新品替换ECU202时，ECU202的SN保持初始值的状态被移交给用户。另外，对于新品的ECU202，初始值作为VIN被存储，并且新品的ECU202的SN是“XXX”。另外，假设对于ECU204和ECU205，“10000”作为VIN被存储。假设ECU204的SN是“BBB”，并且ECU205的SN是“CCC”。

当根据在车辆20的IG电源接通时从车辆20接收的配置信息判断ECU202的VIN是初始值时，服务器80的确定部340将“BBB”和“CCC”确定为在配置信息中与作为其他ECU204和ECU205的VIN的“10000”建立对应的SN。确定部340判断为从车辆20接收的ECU204和ECU205的配置信息的“10000”和“BBB”的组合以及“10000”和“CCC”的组合与由管理部330管理的配置信息相符。在这种情况下，确定部340判断为更换了ECU202。通信控制部370将用于将ECU202的VIN变更为“10000”的更新程序发送到车辆20。另外，管理部330将对应于VIN“10000”的SN0变更为“XXX”。由此，即使在将ECU202替换为新品时VIN未被正确设置，也可以恢复服务器80的信息和ECU202的信息。

图6是示出由控制系统200执行的控制方法相关的处理过程的流程图。当车辆20的IG电源接通时，开始本流程图的处理。另外，在本流程图中，假设VIN的初始值为“0”。

在S502中，ECU202判断是否满足“VIN0与VIN1一致，并且VIN0和VIN1都不是初始值”的条件1。当满足条件1时，在S520中将配置信息发送到服务器80，在S522中从服务器80接收更新程序的有无，并且当存在更新程序时，在S524中更新ECU。

当在S502中判定不满足条件1时，在S504中，ECU202判断是否满足“VIN0和VIN1都是初始值”的条件2。当满足条件2时，ECU202在S510中输出包含报错代码的报错，并且ECU202在MID298和IVI299的显示器上显示对用户的警告信息。例如，警告用户在经销商处进行车辆维护。

当在S504中判定不满足条件2时，在S506中，ECU202判断是否满足“VIN0不是初始值，VIN1是初始值”的条件3。当满足条件3时，ECU202在S510中输出包含报错代码的报错，并且ECU202在MID298和IVI299的显示器上显示对用户的警告信息。

当在S506中判定不满足条件3时，在S508中，ECU202判断是否满足“VIN0是初始值并且VIN1不是初始值”的条件4。当不满足条件4时，ECU202在S510中输出包含报错代码的报错，并且ECU202使MID298和IVI299显示对用户的警告信息。另外，在S508中不满足条件4的情况下，相当于VIN0与VIN1不一致、VIN0和VIN1都不是初始值的情况。

在S508中满足条件4时，处理转移到S520，进行S520以后的处理。在这种情况下，如参考图5等所述那样，可以从服务器80接收用于恢复ECU202的VIN的更新程序。

图7是示出由服务器80执行的更新控制方法相关的处理过程的流程图。当从控制系统200获取到配置信息时，开始本流程图中的处理。

在S602中，确定部340判断VIN0是否是初始值。在VIN0是初始值的情况下，在S603中，确定部340确认VIN和SN的相符性。具体地，如参考图5所述那样，确认在从车辆20接收的配置信息中除ECU202之外的ECU的VIN一致(条件A)，以及除ECU202之外的所有ECU的VIN和SN的组合与由管理部330管理的配置信息相符(条件B)。在S604，确定部340判断除了ECU202之外的配置信息是否与由管理部330管理的配置信息相符。具体地，当满足条件A和条件B时，确定部340判断为相符，当不满足条件A和条件B中的至少一个时，确定部340判断为不相符。

当在S604中判断为不相符时，在S612中，通信控制部370控制通信部390将报错信息发送到车辆20。在车辆20中，ECU202输出包含对应的报错代码的报错，ECU202在MID298和IVI299的显示器上显示对用户的警告信息。

当在S604中判断为相符时，在S606中，管理部330更新由管理部330管理的配置信息的ID0和SN0。在S608中，确定部340生成更新程序数据，该更新程序数据包含用于使ECU202的VIN与其他的ECU的VIN一致的更新程序。另外，更新程序数据可以包含除ECU202之外的ECU的更新程序。接着，在S610中，通信控制部370控制通信部390将更新程序数据发送到车辆20，并且本流程图中的处理结束。

当在S602中判断为VIN0不是初始值时，在S622中，判断在由管理部330管理的配置信息中是否存在与VIN0对应的信息。当不存在对应于VIN0的信息时，在S642中，通信控制部370控制通信部390将报错信息发送到车辆20。在车辆20中，ECU202输出包含对应的报错代码的报错，并且ECU202在MID298和IVI299的显示器上显示对用户的警告信息。由此，可以抑制使用设置了未由管理部330管理的不正确的VIN的ECU。

在存在对应于VIN0的信息的情况下，在S624中，确定部340判断从车辆20接收的配置信息中包含的VIN是否一致。当VIN一致时，在S652中，确定部340检索与VIN建立了对应的更新程序作为车辆20的更新程序。在S654中，通信控制部370控制通信部390将更新程序信息发送到车辆20，并且本流程图中的处理结束。在S654中发送的更新程序信息包含表示更新程序的有无的信息。另外，当在S652中检索到更新程序时，在更新程序信息中包含更新程序的数据。

当在S624的判断中判断VIN不一致时，在S626中，确定部340参照由管理部330管理的配置信息来确定要使VIN相符的ECU。作为示例，当只有ECU205的VIN2与其他VIN不一致时，确定部340从管理部330管理的配置信息中获取与除VIN2之外的VIN建立了对应的SN，并且当所获取的SN与从车辆20接收的配置信息的SN中除ECU205之外的SN一致时，将ECU205确定为使VIN一致的ECU。由此，例如，当在更换ECU205时ECU205的VIN未被正确设定时，能够判断使ECU205的VIN相符。

在S628，管理部330更新由管理部330管理的配置信息的ID和SN。例如，管理部330将从车辆20接收的配置信息的VIN和SN设置为由管理部330管理的ECU205的VIN和SN。在S630中，确定部340生成包含用于使ECU的VIN一致的更新程序的更新程序数据。在上述示例中，生成用于使ECU205的VIN与其他的ECU的VIN一致的更新程序。更新程序数据可以包含除ECU205之外的ECU的更新程序。接着，在S632中，通信控制部370控制通信部390将更新程序数据发送到车辆20，并且本流程图中的处理结束。

根据上述实施方式，例如，当在过去维护车辆20时更换了ECU时，VIN的设定没有被适当地执行的情况下，能够降低执行不适当的程序更新的可能性。此外，可以警告用户维护ECU。另外，通过由服务器80管理VIN和SN，能够使得当检测到VIN的不相符时，可以适当地恢复VIN，而无需前往经销商等。

图8示出了可以全部或部分地体现本发明的多个实施方式的计算机2000的示例。安装至计算机2000的程序能够使计算机2000作为实施方式涉及的控制系统等的系统、服务器、装置或该系统、服务器、装置的各单元发挥功能，执行与各单元相关联的操作，以及/或者执行实施方式涉及的工序或该工序的步骤。为了使计算机2000执行本说明书所述的处理流程以及与框图的功能块中的几个或全部相关联的特定的操作，这样的程序可以由CPU2012执行。

基于本实施方式的计算机2000包含CPU2012以及RAM2014，它们通过主控制器2010而相互连接。计算机2000还包含ROM2026、闪存2024、通信接口2022以及输入/输出芯片2040。ROM2026、闪存2024、通信接口2022以及输入/输出芯片2040经由输入/输出控制器2020与主控制器2010连接。

CPU2012按照ROM2026以及RAM2014内保存的程序进行动作，由此控制各单元。

通信接口2022经由网络与其他的电子设备通信。闪存2024保存由计算机2000内的CPU2012使用的程序以及数据。ROM2026保存被激活时由计算机2000执行的启动程序等、以及/或依存于计算机2000的硬件的程序。输入/输出芯片2040还可以经由串行端口、并行端口、键盘端口、鼠标端口、监视器端口、USB端口、HDMI(注册商标)端口等的输入/输出端口，将键盘、鼠标以及监视器等各种输入/输出单元与输入/输出控制器2020连接。

程序经由CD－ROM、DVD－ROM、或U盘那样的计算机可读介质或网络而被提供。RAM2014、ROM2026、或闪存2024是计算机可读介质的例子。程序被安装至闪存2024、RAM2014或ROM2026，由CPU2012执行。在这些程序内记述的信息处理被计算机2000读取，实现程序和上述各种类型的硬件资源之间的协作。装置或方法可以通过遵从计算机2000的使用而实现信息的操作或处理来构成。

例如，在计算机2000和外部设备之间执行通信的情况下，CPU2012可以执行加载到RAM2014的通信程序，基于通信程序中记述的处理，对通信接口2022指示通信处理。通信接口2022在CPU2012的控制下，对向RAM2014以及闪存2024那样的记录介质内提供的发送缓冲处理区域中保存的发送数据进行读取，将读取的发送数据向网络发送，并将从网络接收的接收数据写入至向记录介质上提供的接收缓冲处理区域等。

另外，CPU2012可以使得闪存2024等那样的记录介质中保存的文件或数据库的全部或所需的部分被读取至RAM2014，并对RAM2014上的数据执行各种处理。CPU2012接着将处理后的数据写回至记录介质。

可以将各种类型的程序、数据、表格以及数据库那样的各种信息保存至记录介质，并施加至信息处理。CPU2012可以对从RAM2014读取的数据执行本说明书中记载的、包含由程序的指令序列指定的各种操作、信息处理、条件判断、条件分支、无条件分支、信息的检索/置换等的各种处理，并将结果写回至RAM2014。另外，CPU2012可以检索记录介质内的文件、数据库等中的信息。例如，在分别具有与第2属性的属性值建立了关联的第1属性的属性值的多个项目被保存在记录介质内的情况下，CPU2012可以从该多个项目中检索指定了第1属性的属性值的与条件一致的项目，读取该项目内保存的第2属性的属性值，由此获取与满足预先设定的条件的第1属性建立了关联的第2属性的属性值。

以上说明的程序或软件模块可以保存至计算机2000上或计算机2000附近的计算机可读介质中。向与专用通信网络或互联网连接的服务器系统内提供的硬盘或RAM那样的记录介质可以作为计算机可读介质来使用。可以将计算机可读介质中保存的程序经由网络提供给计算机2000。

安装在计算机2000中并使计算机2000作为控制系统200发挥功能的程序可以在CPU2012等中动作，从而使计算机2000作为控制系统200的各单元分别发挥功能。这些程序中记述的信息处理被读入计算机2000，由此作为软件和上述的各种硬件资源相协作的具体单元、亦即控制系统200的各单元发挥功能。并且，通过利用这些具体单元实现与本实施方式中的计算机2000的使用目的对应的信息的运算或加工，构建与使用目的对应的特有的控制系统200。

安装在计算机2000中并使计算机2000作为服务器80发挥功能的程序可以在CPU2012等中动作，从而使计算机2000作为服务器80的各单元分别发挥功能。这些程序中记述的信息处理被读入计算机2000，由此作为软件和上述的各种硬件资源相协作的具体单元、亦即控制系统200的各单元发挥功能。并且，通过利用这些具体单元实现与本实施方式中的计算机2000的使用目的对应的信息的运算或加工，构建与使用目的对应的特有的服务器80。

参照框图等对各种实施方式进行了说明。在框图中，各功能块可以表示(1)执行操作的工序的步骤或(2)具有执行操作的功能的装置的各单元。特定的步骤以及各单元可以由专用电路、与计算机可读介质上保存的计算机可读指令一起被供给的可编程电路、以及/或与计算机可读介质上保存的计算机可读指令一起被供给的处理器实现。专用电路可以包含数字以及/或模拟硬件电路，也可以包含集成电路(IC)以及/或离散电路。可编程电路可以包含逻辑AND、逻辑OR、逻辑XOR、逻辑NAND、逻辑NOR、以及其他的逻辑操作、触发器、寄存器、现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)等那样的包含存储器元件等的可重建的硬件电路。

计算机可读介质可以包含能够保存由适当的设备执行的指令的任意的有形设备，其结果，具有在此保存的指令的计算机可读介质构成包含为了实现用于执行处理流程或框图中指定的操作的单元而能够执行的指令的产品的至少一部分。作为计算机可读介质的例子，可以包含电存储介质、磁存储介质、光存储介质、电磁存储介质、半导体存储介质等。作为计算机可读介质的更具体的例子，可以包含软盘(注册商标)、软磁碟、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或闪存)、电可擦除可编程只读存储器(EEPROM)、静态随机存取存储器(SRAM)、光盘只读存储器(CD-ROM)、数字多用途盘(DVD)、蓝光(RTM)光碟、存储棒、集成电路卡等。

计算机可读指令可以包含汇编指令、指令集架构(ISA)指令、机器指令、机器委托指令、微码、固件指令、状态设定数据、或由包括Smalltalk、JAVA(注册商标)、C++等那样的面向对象编程语言以及“C”编程语言或同样的编程语言那样的以往的过程型编程语言在内的1个或多个编程语言的任意的组合所记述的源代码或对象代码的任意一种。

计算机可读指令经由本地或局域网(LAN)、互联网等那样的广域网(WAN)被提供至通用计算机、特殊目的的计算机、或其他的能够编程的数据处理装置的处理器或可编程电路，为了实现用于执行被说明的处理流程或框图中指定的操作的单元，可以执行计算机可读指令。作为处理器的例子，包含计算机处理器、处理单元、微处理器、数字信号处理器、控制器、微控制器等。

以上，利用实施方式对本发明进行了说明，但本发明的技术范围不限于上述实施方式所记载的范围。能够对上述实施方式进行多种变更或改良对于本领域技术人员而言是显而易见的。进行了这样的变更或改良的方式也能够包含于本发明的技术范围内从权利要求书的记载而言是显而易见的。

对于权利要求书、说明书以及附图中示出的装置、系统、程序以及方法中的动作、流程、步骤以及步骤等的各处理的执行顺序而言，应注意没有特别明示“之前”、“先行”等，另外，只要不是将之前的处理的输出在之后的处理中使用，就可以以任意的顺序实现。对于权利要求书、说明书以及附图中的动作流程而言，即使为了便利而使用了“首先”、“接着”等进行了说明，但并不意味着必须以这样的顺序来实施。

[附图标记说明]

10 更新系统

20 车辆

80 服务器

90 通信网络

200 控制系统

201 TCU

202 ECU

204 ECU

205 ECU

280 车载通信线路

294 FI

295 BATT

298 MID

299 IVI

300 处理部

310 获取部

330 管理部

340 确定部

370 通信控制部

380 存储部

390 通信部

2000 计算机

2010 主控制器

2012 CPU

2014 RAM

2020 输入/输出控制器

2022 通信接口

2024 闪存

2026 ROM

2040 输入/输出芯片。

Claims (14)

1.一种控制系统，其中，具备：

多个移动体控制部，其控制移动体；以及

更新控制部，其进行所述移动体的程序更新的控制，

所述更新控制部进行如下处理：

在所述移动体起动时，实施获取既是所述多个移动体控制部的更新所需的信息且又由所述多个移动体控制部存储的管理信息的配置同步，并且获取从所述多个移动体控制部之一的第一移动体控制部获取的第一管理信息和所述更新控制部所存储的第二管理信息，

在所述第一管理信息与所述第二管理信息一致的情况下，从服务器获取所述多个移动体控制部的更新程序的有无，

在所述第一管理信息与所述第二管理信息不一致的情况下，停止所述配置同步。

2.根据权利要求1所述的控制系统，其中，

具备控制用于向所述移动体的用户显示信息的显示部的显示控制部，

在所述第一管理信息与所述第二管理信息不一致的情况下，所述更新控制部将报错信息输出到所述显示控制部。

3.根据权利要求1或2所述的控制系统，其中，

具备控制用于向所述移动体的用户显示信息的显示部的显示控制部，

在至少所述第一管理信息是预定初始值的情况下，所述更新控制部将报错信息输出到所述显示控制部。

4.根据权利要求1或2所述的控制系统，其中，

具备控制用于向所述移动体的用户显示信息的显示部的显示控制部，

在所述第二管理信息是预定初始值并且所述第一管理信息不是所述初始值的情况下，所述更新控制部将报错信息输出到所述显示控制部。

5.根据权利要求1所述的控制系统，其中，

所述更新控制部进行如下处理：

将从所述多个移动体控制部获取的多个管理信息发送到所述服务器，

在所述第二管理信息是预定初始值并且所述多个管理信息一致的情况下，从所述服务器获取用于使所述第二管理信息与所述多个管理信息一致的所述更新控制部的更新程序。

6.一种移动体，其中，

具备权利要求1至5中任一项所述的控制系统。

7.根据权利要求6所述的移动体，其中，

所述移动体是车辆。

8.一种服务器，是将用于移动体的程序更新的更新程序向所述移动体发送的服务器，其中，

所述移动体具备控制所述移动体的多个移动体控制部和进行所述移动体的程序更新的控制的更新控制部，

所述服务器具备：

获取部，其获取从所述移动体发送的、既是所述多个移动体控制部的更新所需的信息且又由所述多个移动体控制部存储的多个管理信息以及由所述更新控制部存储的第二管理信息；以及

发送控制部，其控制发送部，该发送部将所述多个移动体控制部中的至少一个移动体控制部的更新程序发送到所述移动体，

所述发送控制部进行如下处理：

在所述多个管理信息之一的第一管理信息与所述第二管理信息一致的情况下，将所述更新程序发送到所述移动体，

在所述第一管理信息与所述第二管理信息不一致的情况下发送报错信息。

9.根据权利要求8所述的服务器，其中，

所述获取部还获取从所述移动体发送的、所述多个移动体控制部和所述更新控制部的各自的识别信息，

所述服务器还具备管理部，在所述多个管理信息与所述第二管理信息一致的情况下，该管理部将所述第二管理信息与所述多个移动体控制部和所述更新控制部的各自的识别信息建立对应地管理，

当所述第二管理信息是预定初始值时，在由所述管理部以与和所述第一管理信息一致的管理信息建立对应的方式管理的所述多个移动体控制部的各自的识别信息与由所述获取部获取的所述多个移动体控制部的各自的识别信息相符的情况下，所述发送控制部将用于使所述第二管理信息与所述多个管理信息一致的所述更新控制部的更新程序发送到所述移动体。

10.根据权利要求8所述的服务器，其中，

所述获取部还获取从所述移动体发送的、所述多个移动体控制部和所述更新控制部的各自的识别信息，

所述服务器还具备：

管理部，在所述多个管理信息与所述第二管理信息一致的情况下，将所述第二管理信息与所述多个移动体控制部和所述更新控制部的各自的识别信息建立对应地管理；以及

确定部，当在所述多个管理信息以及所述第二管理信息中存在与其他的管理信息不一致的管理信息时，将所述管理部管理的所述多个移动体控制部以及所述更新控制部的各自的识别信息与所述获取部获取的所述多个移动体控制部以及所述更新控制部的各自的识别信息进行比较，从所述多个管理信息以及所述第二管理信息中确定应存储在所述多个移动体控制部以及所述更新控制部中的一个管理信息，

所述发送控制部将用于使所述多个移动体控制部和所述更新控制部的管理信息与由所述确定部确定的所述管理信息一致的更新程序发送到所述移动体。

11.一种控制方法，其中，具有：

在移动体起动时，实施获取既是控制移动体的多个移动体控制部的更新所需的信息且又由所述多个移动体控制部存储的管理信息的配置同步，并且获取从所述多个移动体控制部之一的第一移动体控制部获取的第一管理信息和由进行所述移动体的程序更新的控制的更新控制部所存储的第二管理信息的步骤；

在所述第一管理信息与所述第二管理信息一致的情况下，从服务器获取所述多个移动体控制部的更新程序的有无的步骤；以及

在所述第一管理信息与所述第二管理信息不一致的情况下停止所述配置同步的步骤。

12.一种计算机可读存储介质，存储有程序，其中，

所述程序使计算机作为如下单元发挥作用：

多个移动体控制部，其控制移动体；以及

更新控制部，其进行所述移动体的程序更新的控制，

基于所述程序，所述更新控制部进行如下处理：

在所述移动体起动时，实施获取既是所述多个移动体控制部的更新所需的信息且又由所述多个移动体控制部存储的管理信息的配置同步，并且获取从所述多个移动体控制部之一的第一移动体控制部获取的第一管理信息以及由所述更新控制部存储的第二管理信息，

在所述第一管理信息与所述第二管理信息一致的情况下，从服务器获取所述多个移动体控制部的更新程序的有无，

在所述第一管理信息与所述第二管理信息不一致的情况下停止所述配置同步。

13.一种控制方法，是用于进行移动体的程序更新的更新控制方法，其中，

所述移动体具备控制所述移动体的多个移动体控制部和进行所述移动体的程序更新的控制的更新控制部，

所述更新控制方法具有：

获取从所述移动体发送的、既是所述多个移动体控制部的更新所需的信息且又由所述多个移动体控制部存储的多个管理信息以及由所述更新控制部存储的第二管理信息的步骤；

在所述多个管理信息之一的第一管理信息与所述第二管理信息一致的情况下，将所述多个移动体控制部中的至少一个移动体控制部的更新程序发送到所述移动体的步骤；以及

在所述第一管理信息与所述第二管理信息不一致的情况下发送报错信息的步骤。

14.一种计算机可读存储介质，存储有用于使计算机作为服务器发挥作用的程序，该服务器将用于进行移动体的程序更新的更新程序向所述移动体发送，

所述移动体具备控制所述移动体的多个移动体控制部和进行所述移动体的程序更新的控制的更新控制部，

所述程序使所述计算机作为如下单元发挥作用：

获取部，其获取从移动体发送的、既是所述多个移动体控制部的更新所需的信息且又由所述多个移动体控制部存储的多个管理信息以及由所述更新控制部存储的第二管理信息；以及

发送控制部，其控制发送部，所述发送部将所述多个移动体控制部中的至少一个移动体控制部的更新程序发送到所述移动体，

基于所述程序，所述发送控制部进行如下处理：

在所述多个管理信息之一的第一管理信息与所述第二管理信息一致的情况下，将所述更新程序发送到所述移动体，

在所述第一管理信息与所述第二管理信息不一致的情况下发送报错信息。

Images