CN115398390A - 车辆的电子控制单元、用于更新该单元的更新方法以及装备有这种单元的车辆 - Google Patents

Abstract

本发明涉及一种车辆的电子控制单元(10)，所述电子控制单元包括至少一个可重写只读存储器(11)，所述至少一个可重写只读存储器收容有：‑启动加载程序(12)，以及‑用于监控所述车辆的应用程序(13)，所述应用程序包括至少一个第一例行程序(15)，所述至少一个第一例行程序配置用于确保所述车辆的安全性功能(SF)，其特征在于，所述启动加载程序(12)包括第二例行程序(16)，所述第二例行程序配置用于确保所述车辆的安全性功能(SF)。

Description

车辆的电子控制单元、用于更新该单元的更新方法以及装备 有这种单元的车辆

技术领域

本发明要求于2020年4月8日提交的法国申请2003498的优先权，该申请的内容(文本、附图和权利要求)通过引用并入本文。

本发明通常涉及车辆的电子控制单元(例如，经装载在例如机动车辆中的监控模块)的领域。这些模块典型地旨在确保专用于车辆性能或状态的功能，以便保证或改善车辆乘员的安全性和更通常地道路用户的安全性。本发明还涉及一种用于更新这种电子控制单元的更新方法以及一种包括这种单元的车辆(优选地机动车辆)。

背景技术

从主要地安全的眼光来看，车辆包括越来越多的用于辅助和监控与所述车辆相关联的功能团的电子装置。这些装置可参考驾驶辅助系统、停车辅助系统、车轮防抱死系统ABS、车辆稳定性管控系统ESP、车辆转向管控系统、车辆导向管控系统、车辆速度管控系统、车辆悬架管控装置、车辆底盘管控装置、例如装备在例如安全气囊上的加速度计、门锁定/解锁管控装置、窗锁定/解锁管控装置、驻车制动器锁定/解锁管控装置、警报管理装置、又或娱乐系统和/或导航系统。该列表当然不是详尽的，但提供了对于可由经装载在车辆上的一个或多个电子控制单元管控的各种功能团的广泛概述。

所有这些功能的多样性反过来意味着对于用于管控这些功能的电子控制单元的越来越频繁的更新。事实上，重要的是能够通过修改、修正或改进一些参数或例行程序来尽可能经常地改善对于车辆功能团的管控，所述一些参数或例行程序典型地与车辆性能或状态有关。这些修正和其它改善通过替代或适配电子控制单元中所安装的软件来获得。

文件CB105608370描述了一种用于更新电子控制单元(ECU)中的程序的方法。所述方法在于初始化所述ECU的重新起动和建立所述存储空间的映射。根据从EEPROM存储器区域和随机存取存储器区域中读取的信息，接下来确定启动加载程序(chargeur

)是否可访问。在肯定的情形中，设计进入所述启动加载程序中，而在否定的情形中，应用经发起，同时定期地验证更新请求的任选存在。

文件US2014/0136826A1描述了一种用于更新车辆的ECU中的启动加载程序的方法和装置。该文件更确切地建议按顺序更新第一启动加载程序、然后第二启动加载程序，以便能够使所述系统安全。

文件US2013/0326126A1公开了一种电子控制单元(ECU)，所述电子控制单元包括以可重写的方式存储的程序。

如上述文件所示，电子控制单元(ECU)的主要缺陷在于对于这些电子控制单元中的每个中所包括的软件的更新。事实上，当该软件经更新时，在该软件由该软件的新版本替代所需的整个时间间隔期间，该软件的运行中断。因此，所述车辆的由该软件管控的全部功能团暂时不再受到管控。

如果这些功能团影响车辆用户的舒适度，例如在娱乐系统更新时，当然，如果该更新涉及用于监控集成有安全性功能的车辆的监控系统，由此引起的严重性不具有相同的重要性。此外，这种更新通常通过专家执行，这迫使车主需前往特定连锁店(典型地，与其车辆品牌相关联的车库)，以能够在所述特定连锁店中执行所要求的更新。该约束不能够利于及时获得所述软件的新版本。

因此，存在找到能够至少部分地解决上述缺陷的有效的解决方案的兴趣。

发明内容

为此目的，在第一方面，本发明涉及一种车辆的电子控制单元，所述电子控制单元包括至少一个可重写只读存储器(mémoire morte réinscriptible)，所述至少一个可重写只读存储器收容有：

-启动加载程序，以及

-用于监控所述车辆的应用程序，所述应用程序包括至少一个第一例行程序，所述至少一个第一例行程序配置用于确保所述车辆的安全性功能，其特征在于，所述启动加载程序包括第二例行程序，所述第二例行程序配置用于确保所述车辆的安全性功能。

有利地，本发明的车辆的电子控制单元能够在任何时间保证所述车辆的一个或多个安全性功能的执行。特别是，当所述监控应用程序经更新时，该更新不违背一个或多个安全性功能的执行，因为所述安全性功能已经复制到所述启动加载程序中(特别是，经复制到该启动加载程序的第二例行程序中)。

由于自身的功能，如同任何启动加载程序地，该启动加载程序可独立于开发系统地执行，所述开发系统在所述电子控制单元中通过用于监控所述车辆的应用程序引领与该单元相关联的资源的使用。因此，即使当在正常时间时管理这些功能的软件或应用经更新时，可保证所述车辆的安全性功能的良好运行，所述安全性功能例如旨在控制驻车制动、门打开或警报激活。在所述电子控制单元的开发系统重新起动时，还保证了对于这些安全性功能的执行的确保。

在优选实施例中，所述车辆的安全性功能配置用于经激活和/或经去激活。

优选地，所述第二例行程序是所述第一例行程序的副本。

优选地，所述可重写只读存储器包括经预留给所述用于监控所述车辆的应用程序的第一分区以及经预留给所述启动加载程序的第二分区。

在优选实施例中，所述车辆的电子控制单元包括界面，所述界面配置用于接收由至少一个无线通信网络转运(transitant par)的用于更新所述应用程序的更新数据。

在另一实施例中，所述启动加载程序配置用于：

-起动所述应用程序的执行，

-下载至少一个数据包，所述至少一个数据包能够更新所述应用程序，

-执行所述第二例行程序，所述第二例行程序确保所述车辆安全性功能。

优选地，所述启动加载程序还配置用于确保所述第二例行程序符合(conformeà)所述第一例行程序。

还优选地，所述启动加载程序还配置用于在所述应用程序的更新的任何执行之前切换所述第一例行程序和第二例行程序的执行。

在第二方面，本发明涉及一种用于更新根据本说明书中描述的其中任一实施例或根据这些实施例的任一可能组合的车辆的电子控制单元的更新方法，该更新方法的特征在于，在所述应用程序更新时，所述车辆的安全性功能由所述第二例行程序的执行确保。

在第三方面，本发明涉及一种车辆(特别是机动车辆)，所述车辆包括至少一个根据该单元的如本说明书中描述的其中任一实施例或根据这些实施例的任一可能组合的车辆的电子控制单元。

附图说明

通过阅读本发明中作为示例给出的详细说明和附图，将更好地理解本发明，在所述附图中：

图1是车辆的电子架构的示意图，该电子架构集成有至少一个符合本发明第一方面的电子控制单元；

图2是根据本发明的电子控制单元的示例的示意图；

图3是与图2的视图类似的视图，但图3中，用于监控所述车辆的应用程序处于更新阶段。

具体实施方式

参考图1，该图1示出了车辆(特别是车辆2，优选地示意性地示出为机动车辆)的电子架构1的示意图。该电子架构1配置用于装载在车辆2中。该电子架构尤其包括网关3，该网关一方面与无线通信单元5联接，以及另一方面与所述车辆的至少一个电子控制单元10联接。

该电子控制单元(ECU)10可看作车辆2的中央计算机。这种计算机可例如用作用于监控所述车辆的监控模块(VSM-即Vehicle Superviser Module的英文首字母缩略词)、驾驶辅助系统(ADAS-即Advanced Driver Assistance System的英文首字母缩略词)或经装载信息娱乐系统(IVI-即In-Vehicle Infotainment的英文首字母缩略词)。尽管在图1的电子架构1中仅示出了三个计算机，理解到，计算机(ECUs、VSM、ASA、IVI)的数量绝不限于三个，而可大于或小于该数量。

网关3主要用于使车辆2的本地第一网络7与该车辆的外部第二网络8联接。第一网络7典型地是以太网类型的有线网络并且/或者可以是Bluetooth类型的无线网络。第二网络8本身参考无线的或至少部分无线的通信网络，例如移动电话网络(GSM)。对于第二网络8的访问例如通过与网关3联接的天线壳体5获得。该天线壳体5可以是永久地配置在车辆2中的通信天线，或者可以是移动装置的通信天线(例如，其中一个车辆乘员的移动电话的天线)。

图2示意性地示出了根据本发明的电子控制单元10的示例。该电子控制单元更确切地可以是用于监控所述车辆的监控模块(VSM)或车辆2的任何其它中央计算机。如图2上的阴影部分所示，该车辆的电子控制单元包括至少一个例如flash类型的可重写只读存储器11。该可重写只读存储器11尤其配置用于收容有(即，存储有或记忆有)启动加载程序12和用于监控车辆2的应用程序13。

启动加载程序12(英文称为bootloader)是软件，所述软件能够发起至少一个开发系统14，即，所述软件能够执行至少一个开发系统的起动。所述开发系统是计算机程序或程序组合，其确保了在所述车辆的硬件(例如传感器、加速度计、致动器等)与(一个或多个)应用13之间的接口。开发系统14通过(一个或多个)应用程序软件13引领对于电子控制单元10的资源的使用。因此，该开发系统典型地存储在电子控制单元10中。

应用程序13是软件或软件组合，其尤其能够通常管控或监控车辆2的多个功能。这些功能中的一些视为所述车辆的安全性功能SF(即“Safe Function”的英文首字母缩略词)。这些安全性功能可例如参考对于车辆门或窗的打开/闭合、对于驻车制动的运行(激活/去激活)的维持、对于安全气囊触发的管控维持、又或车辆的警报控制系统或者导向或制动辅助系统。当然可把其它功能视为安全性功能。

用于监控车辆2的应用程序13包括至少一个第一例行程序15，所述至少一个第一例行程序配置用于确保所述车辆的安全性功能SF。根据本发明，所述启动加载程序包括第二例行程序16，所述第二例行程序配置用于确保上述安全性功能SF(即，第一例行程序15的安全性功能)。

由于这种架构，安全性功能SF可始终地或是在正常时间由第一例行程序15确保，或是特别是当应用程序13经受更新时并且当第一例行程序15因此不能够确保安全性功能SF时由第二例行程序16确保。有利地，对于所述车辆的安全性功能所专用的例行程序的该复制授权了应用程序13的更新而不损害车辆用户的安全性(或者处在该车辆附近的道路用户的安全性)，这是因为该车辆的(一个或多个)安全性功能可经维持。进一步有利地，对于应用程序13的更新可由此更频繁，因为所述更新不影响所述车辆的(一个或多个)安全性功能SF。

在变型中，典型地可由第一例行程序15确保多个安全性功能SF。在该情况下，相同的安全性功能将经复制并且可经受第二例行程序16。

在优选实施例中，所述车辆的安全性功能SF配置用于经激活和/或经去激活。因此，这种功能与待满足条件(例如为了能够进行流程或后续步骤(例如更新)而待实现的先验条件)区别开。

优选地，第二例行程序16是第一例行程序15的副本。由此，所述第二例行程序与对于应用程序13的第一例行程序的简单引用区别开，因为该第二例行程序本身单独地构成与第一例行程序15区别开的例行程序，在这个意义上，该第二例行程序可独立于所述第一例行程序地执行。

如图1所示，可重写只读存储器11优选地包括经预留给用于监控所述车辆的应用程序13的第一分区11a以及经预留给启动加载程序的第二分区11b。分区11a和11b因此彼此分开，除了所述分区所包括的数据。可替代地，这些分区11a、11b中的每个可经受分开的可重写只读存储器11。

在优选实施例中，车辆的电子控制单元10还包括界面17，该界面配置用于接收由至少一个无线通信网络(例如如图1所示的第二网络8)转运的更新数据。所述更新数据典型地是能够更新应用程序13的更新数据。这些数据例如以数据包18(图3)的形式从远程服务器(管理中心)传输，所述数据包通过无线通信网络8发送到车辆2。

在实施例中，启动加载程序12配置用于：

-起动应用程序13的执行，

-下载至少一个数据包18，所述至少一个数据包能够更新应用程序13，以及

-执行第二例行程序16，所述第二例行程序确保车辆2的安全性功能SF。

注意到，该操作列表不一定表征特定执行顺序。此外，启动加载程序12完全不约束必须依次地执行的这些操作的组合。因此理解到，该启动加载程序能够或是准时地或是依次地以逻辑顺序执行这些操作，该逻辑顺序可预先地确定，并且取决于该启动加载程序可能所处于的情形。为此，所述启动加载程序可包括至少一个用于起动应用程序13的执行的起动指令、至少一个用于执行至少一个对于用于更新应用程序13的更新数据包18的下载的执行指令以及至少一个用于执行包括所述车辆中待确保的安全性功能SF的第二例行程序16的执行指令。

在另一实施例中，启动加载程序12还配置用于确保第二例行程序16符合第一例行程序15。换句话说，启动加载程序12包括至少一个指令，其中，一序列指令(即，一段计算机代码)在自身经执行时使第二例行程序16符合第一例行程序。为此目的，所述启动加载程序可把第二例行程序16替代为第一例行程序15或者在变型中把第二例行程序16修改或适配为第一例行程序15。这些操作典型地在第一例行程序15已更新之后(优选地在第一例行程序15每次更新之后)经执行。由于所述第一例行程序是应用程序13的一部分，对于该第一例行程序的更新因此通过对于所述应用程序的更新来完成。

在优选实施例中，启动加载程序12还配置用于在应用程序13的更新的任何执行之前切换第一例行程序和第二例行程序15、16的执行。该切换可由编程代码指令获得，所述编程代码指令操控所述启动加载程序的动作。进一步优选地，该切换从第一例行程序15向第二例行程序16实施，以便使得一旦所述第一例行程序由于含有所述第一例行程序的应用程序的更新而不再可执行，则可在所述第一例行程序上接班所述第二例行程序的执行。从一个例行程序到另一个例行程序的转换优选地通过激活第二例行程序16的执行然后去激活第一例行程序15的执行来实施。

参考图2，注意到，该图2示出了正常情形，其中，应用程序13是运行的。在这种情况下，不执行对于所述应用程序的任何更新。所述车辆的安全性功能SF因此由该应用程序中所包括的第一例行程序15确保。为此原因，第二例行程序16优选地休眠或经去激活。该经去激活状态或待机状态由月亮形象形图示出在图2上，所述月亮形象形图已添加在第二例行程序16上。

相反地，图3示出了另一状态，其中，用于监控所述车辆的应用程序13处于更新阶段。该更新阶段由更新数据包18的到达以及由应用程序13的阴影图示示出。示出云(该云由旋转箭头回环表示数据的下载)的第二象形图还添加在应用程序13上。进一步注意到，在该图3上，在图2上表征第二例行程序16的非激活的月亮形象形图消失，所述月亮形象形图由运动齿轮取代。通过该方式，理解到，第二例行程序16接班在第一例行程序上，以便在应用程序13的更新阶段期间确保安全性功能SF。

在第二方面，本发明涉及一种用于更新电子控制单元10的更新方法，已根据其中任一实施例或根据这些实施例的任一可能组合在上文中描述了所述电子控制单元。根据该方法，在应用程序13更新时，车辆2的安全性功能SF由第二例行程序16的执行确保。由此，第二例行程序16优选地在所述应用程序的更新之前(特别是，正好在该更新开始之前)经激活。对于第二例行程序16的激活典型地表达成从第一例行程序15向第二例行程序16的安全性功能SF管控或控制转换。以该方式，对于该功能的运行状态的维持有利地连续地(特别是其中包括在所述应用程序更新时)经确保。

优选地，所述更新通过无线连接执行。该连接可典型地经由例如移动电话通信网络实施。在经预留给应用程序13的存储器区域11中的更新包18的安装结束时，启动加载程序12重新起动电子控制单元10的开发系统14，以便使得应用程序13的新版本能够正确地经考虑到且可操作。一旦该新版本可操作，第二转换经执行，所述第二转换旨在激活该新版本的第一例行程序15和去激活第二例行程序16。

一旦对于应用程序13的更新经执行，进一步优选地，一旦发生了所述第二转换，经存储在启动加载程序12中的第二例行程序16继而在新的第一例行程序15(其来自于对于所述应用程序的更新)的基础上进行更新。对于第二例行程序16的更新可包括修改或适配所述第二例行程序或者包括由第一例行程序的新版本替代该第二例行程序。

安全性功能SF可以是先前在本说明书中已提到的其中任一安全性功能。这些功能中的一些还可构成在一些国家中的法规功能。由此，本发明能够由更频繁且更容易的更新增加人员安全性，同时符合在一些国家中现行的最严格的立法。

在第三方面，本发明涉及一种车辆2(特别是机动车辆)，所述车辆包括至少一个根据本说明书中描述的其中任一实施例或根据这些实施例的任一可能组合的电子控制单元10。

在最后一方面，本发明还可涉及一种如图1示例性所示的车辆2的电子架构1。特别是，这种电子架构1包括：

-至少一个根据本说明书中描述的其中任一实施例或根据这些实施例的任一可能组合的用于监控所述车辆的监控模块，

-网关3，以及

-无线通信单元5。

注意到，上述车辆监控模块还可以是电子控制单元(ECU)、驾驶辅助系统(ADAS)、经装载信息娱乐系统(IVI)或车辆2的任何其它中央计算机。

理解到，可对于本说明书中所描述的本发明各种实施例添加对本领域技术人员来说显而易见的各种修改和/或改进，而不脱离本发明的范围。

Claims (10)

1.一种车辆(2)的电子控制单元(10)，所述电子控制单元包括至少一个可重写只读存储器(11)，所述至少一个可重写只读存储器收容有：

-启动加载程序(12)，以及

-用于监控所述车辆(2)的应用程序(13)，所述应用程序包括至少一个第一例行程序(15)，所述至少一个第一例行程序配置用于确保所述车辆(2)的安全性功能(SF)，

其特征在于，所述启动加载程序(12)包括第二例行程序(16)，所述第二例行程序配置用于确保所述车辆(2)的安全性功能(SF)。

2.根据权利要求1所述的车辆的电子控制单元(10)，其特征在于，所述车辆的安全性功能(SF)配置用于经激活或经去激活。

3.根据上述权利要求中任一项所述的车辆的电子控制单元(10)，其特征在于，所述第二例行程序(16)是所述第一例行程序(15)的副本。

4.根据权利要求1所述的车辆的电子控制单元(10)，其特征在于，所述可重写只读存储器(11)包括经预留给所述用于监控所述车辆的应用程序(13)的第一分区(11a)以及经预留给所述启动加载程序(12)的第二分区(11b)。

5.根据上述权利要求中任一项所述的车辆的电子控制单元(10)，其特征在于，所述电子控制单元包括界面(17)，所述界面配置用于接收由至少一个无线通信网络(8)转运的用于更新所述应用程序(13)的更新数据(18)。

6.根据上述权利要求中任一项所述的车辆的电子控制单元(10)，其特征在于，所述启动加载程序(12)配置用于：

-起动所述应用程序(13)的执行，

-下载至少一个数据包(18)，所述至少一个数据包能够更新所述应用程序(13)，以及

-执行所述第二例行程序(16)，所述第二例行程序确保所述车辆的安全性功能(SF)。

7.根据权利要求6所述的车辆的电子控制单元(10)，其特征在于，所述启动加载程序(12)还配置用于确保所述第二例行程序(16)符合所述第一例行程序(15)。

8.根据权利要求6或7所述的车辆的电子控制单元(10)，其特征在于，所述启动加载程序(12)还配置用于在所述应用程序(13)的更新的任何执行之前切换所述第一例行程序和第二例行程序(15，16)的执行。

9.一种用于更新根据上述权利要求中任一项所述的车辆的电子控制单元(10)的更新方法，其特征在于，在所述应用程序(13)更新时，所述车辆的安全性功能(SF)由所述第二例行程序(16)的执行确保。

10.一种机动车辆(2)，所述机动车辆包括至少一个根据权利要求1至8中任一项所述的车辆的电子控制单元(10)。

Images