CN115509565A - Ota管理器、系统、方法、非暂时性存储介质以及车辆 - Google Patents

Abstract

本发明涉及OTA管理器、系统、方法、非暂时性存储介质以及车辆。该OTA管理器构成为对搭载于车辆的第1电子控制单元的软件更新和搭载于上述车辆的第2电子控制单元的软件更新进行控制，具备通信部和控制部。上述通信部构成为从中心单独地接收面向上述第1电子控制单元的更新数据的第1分发数据包和面向上述第2电子控制单元的更新数据的第2分发数据包。上述第1电子控制单元具备具有1个储存区域的第1类别的非易失性存储器。上述第2电子控制单元具备具有2个储存区域的第2类别的非易失性存储器。上述控制部构成为基于接收到的上述更新数据来对于成为更新对象的多个电子控制单元并行执行上述软件更新的控制。

Description

OTA管理器、系统、方法、非暂时性存储介质以及车辆

技术领域

本公开涉及对电子控制单元的软件的更新进行控制的OTA管理器、系统、方法、非暂时性存储介质以及车辆。

背景技术

在车辆搭载有用于控制车辆的动作的多个电子控制单元。电子控制单元具备处理器、RAM那样的暂时性存储部、闪速ROM那样的非易失性存储部亦即非易失性存储器。电子控制单元通过处理器执行存储于非易失性存储器的软件来实现电子控制单元的控制功能。各电子控制单元所存储的软件可改写。通过将电子控制单元的软件更新为更新的版本的软件，能够改善各电子控制单元的功能、向电子控制单元追加新的车辆控制功能。

作为更新电子控制单元的软件的技术，公知有OTA(Over The Air：空中下载)技术。担负车辆的软件的更新处理的装置和与车载网络连接的车载通信设备以及因特网等通信网络无线连接。上述装置通过经由无线通信从服务器下载软件并将下载了的软件安装至电子控制单元来进行电子控制单元的软件更新、向电子控制单元进行软件的追加。例如，参照日本特开2004－326689。

作为搭载于电子控制单元的非易失性存储器的类别，存在具有用于储存软件等数据的1个储存区域的存储器(单库存储器)和具有用于储存软件等数据的2个储存区域的存储器(双库存储器)这两种。根据电子控制单元的规格等来区分使用非易失存储器的类别。搭载有双库存储器的电子控制单元能够在2个储存区域中分别储存新旧2个版本的数据。

在对于车辆进行软件更新的事件亦即活动中，存在搭载有单库存储器的电子控制单元与搭载有双库存储器的电子控制单元两方成为更新软件的对象亦即电子控制单元的情况。在搭载有该单库存储器的电子控制单元和搭载有双库存储器的电子控制单元中，在存储器的构造上软件更新失败时的恢复方法(返回至更新前的软件的方法)不同。即，在搭载有单库存储器的电子控制单元的软件更新失败了的情况下，再次向单库存储器写入更新前的软件。另一方面，在搭载有双库存储器的电子控制单元中，向双库存储器的不同的储存区域写入更新后的软件和更新前的软件。因此，在软件更新失败的情况下，搭载有双库存储器的电子控制单元被控制为从写入有更新前的软件的储存区域读出软件。即，不需要将更新前的软件再次写入至双库存储器。

存在将搭载有单库存储器的电子控制单元和搭载有双库存储器的电子控制单元作为成为更新对象的电子控制单元而混在一起的活动应用于车辆的情况。该情况下，期望执行与成为更新对象的电子控制单元的存储器构造对应的恰当的软件的下载以及安装。

发明内容

本公开提供能够执行适应于单库存储器以及双库存储器的软件更新的OTA管理器、系统、方法、非暂时性存储介质以及车辆。

本公开技术的第一方式是构成为对搭载于车辆的第1电子控制单元的软件更新和搭载于上述车辆的第2电子控制单元的软件更新进行控制的OTA管理器。上述OTA管理器具备通信部和控制部。上述通信部构成为从中心单独地接收面向上述第1电子控制单元的更新数据的第1分发数据包和面向上述第2电子控制单元的更新数据的第2分发数据包。上述第1电子控制单元具备第1类别的非易失性存储器。上述第1类别的非易失性存储器具有1个储存区域。上述第2电子控制单元具备第2类别的非易失性存储器。上述第2类别的非易失性存储器具有2个储存区域。上述控制部构成为基于接收到的上述更新数据来对于成为更新对象的多个电子控制单元并行执行上述软件更新的控制。

在本公开技术的第一方式所涉及的OTA管理器中，上述通信部可以构成为从上述中心取得类别信息。上述类别信息可以表示搭载于上述电子控制单元的非易失性存储器是上述第1类别的非易失性存储器还是上述第2类别的非易失性存储器。

本公开技术的第一方式所涉及的OTA管理器可以还具备构成为存储类别信息的存储部。上述类别信息可以表示搭载于上述电子控制单元的非易失性存储器是上述第1类别的非易失性存储器还是上述第2类别的非易失性存储器。

在本公开技术的第一方式所涉及的OTA管理器中，上述控制部可以构成为基于上述类别信息和接收到的上述更新数据来对于成为上述更新对象的多个电子控制单元执行上述软件更新的控制。

在本公开技术的第一方式所涉及的OTA管理器中，上述控制部可以构成为基于上述更新数据来对于上述第1电子控制单元和上述第2电子控制单元并行执行上述软件更新的控制。

在本公开技术的第一方式所涉及的OTA管理器中，上述控制部可以构成为对于成为上述更新对象的多个电子控制单元并行转送接收到的上述更新数据。

本公开技术的第二方式是具备OTA管理器和中心的统，上述OTA管理器构成为对搭载于车辆的第1电子控制单元的软件更新和搭载于上述车辆的第2电子控制单元的软件更新进行控制，上述中心构成为与上述OTA管理器进行通信。上述中心构成为将面向上述第1电子控制单元的更新数据的第1分发数据包和面向上述第2电子控制单元的更新数据的第2分发数据包单独地向上述OTA管理器发送。上述第1电子控制单元具备第1类别的非易失性存储器。上述第1类别的非易失性存储器具有1个储存区域。上述第2电子控制单元具备第2类别的非易失性存储器。上述第2类别的非易失性存储器具有2个储存区域。上述OTA管理器构成为单独地接收上述中心发送的上述第1分发数据包以及上述第2分发数据包。上述OTA管理器构成为基于接收到的上述更新数据来对于成为更新对象的多个电子控制单元并行执行上述软件更新的控制。

在本公开技术的第二方式所涉及的系统中，上述中心以及上述OTA管理器的至少一方可以构成为存储类别信息，该类别信息表示搭载于上述电子控制单元的非易失性存储器是上述第1类别的非易失性存储器还是上述第2类别的非易失性存储器。

本公开技术的第三方式是由构成为对搭载于车辆的第1电子控制单元的软件更新和搭载于车辆的第2电子控制单元的软件更新进行控制的OTA管理器执行的方法。上述OTA管理器具备存储器和1个以上的处理器。上述方法包括从中心单独地接收面向上述第1电子控制单元的更新数据的第1分发数据包和面向上述第2电子控制单元的更新数据的第2分发数据包。上述第1电子控制单元具备第1类别的非易失性存储器。上述第1类别的非易失性存储器具有1个储存区域。上述第2电子控制单元具备第2类别的非易失性存储器。上述第2类别的非易失性存储器具有2个储存区域。上述方法包括基于接收到的上述更新数据来对于成为更新对象的多个电子控制单元并行执行上述软件更新的控制。

本公开技术的第四方式是储存有能够由1个或者多个OTA管理器的计算机执行且使上述1个或者多个OTA管理器的计算机执行以下功能的命令的非暂时性存储介质。上述OTA管理器构成为对搭载于车辆的第1电子控制单元的软件更新和搭载于上述车辆的第2电子控制单元的软件更新进行控制。上述OTA管理器具备存储器和1个以上的处理器。上述功能包括从中心单独地接收面向上述第1电子控制单元的更新数据的第1分发数据包和面向上述第2电子控制单元的更新数据的第2分发数据包。上述第1电子控制单元具备第1类别的非易失性存储器。上述第1类别的非易失性存储器具有1个储存区域。上述第2电子控制单元具备第2类别的非易失性存储器。上述第2类别的非易失性存储器具有2个储存区域。上述功能包括基于接收到的上述更新数据来对于成为更新对象的多个电子控制单元并行执行上述软件更新的控制。

本公开技术的第一方式所涉及的OTA管理器可以被搭载于车辆。

根据本公开，能够提供可执行适合于单库存储器以及双库存储器的软件更新(下载、安装)的OTA管理器、系统、方法、非暂时性存储介质以及车辆。

附图说明

以下，参照附图对本发明的示例性实施例的特征、优点、技术及工业重要性进行说明，在附图中相同的附图标记表示相同的构成要素，其中：

图1是表示实施方式所涉及的网络系统的整体结构的框图。

图2是表示中心的简要结构的框图。

图3是中心的功能框图。

图4是表示OTA管理器的简要结构的框图。

图5是OTA管理器的功能框图。

图6A是表示电子控制单元的简要结构的一个例子的框图。

图6B是表示电子控制单元的简要结构的一个例子的框图。

图7是表示类别信息的一个例子的图。

图8是中心以及OTA管理器所进行的下载处理步骤的流程图例。

图9是OTA管理器以及目标电子控制单元所进行的安装处理步骤的流程图例。

图10是OTA管理器以及目标电子控制单元所进行的激活处理步骤的流程图例。

具体实施方式

在本公开的网络系统中，OTA管理器通过单独的分发数据包从中心接收面向搭载有单库存储器的电子控制单元的更新数据和面向搭载有双库存储器的电子控制单元的更新数据。OTA管理器并行进行搭载有单库存储器的电子控制单元的更新数据的安装和搭载有双库存储器的电子控制单元的更新数据的安装。由此，能够执行适合于单库存储器以及双库存储器的软件更新。

以下，参照附图对本公开的一个实施方式详细地进行说明。

实施方式

结构

图1是表示本公开的一个实施方式所涉及的网络系统的整体结构的框图。图1所示的网络系统是用于对搭载于车辆的多个电子控制单元40a～40d的软件进行更新的系统。网络系统具备处于车辆之外的中心10、在车辆内构建的车载网络20、以及网络70。

(1)中心

中心10能够经由网络70与车载网络20所具备的OTA管理器30实现通信。关于OTA管理器30将后述。中心10对于OTA管理器30进行电子控制单元40a～40d的软件的更新数据的发送、表示软件更新处理的进展状况的通知的从OTA管理器30的接收。中心10能够对与OTA管理器30连接的多个电子控制单元40a～40d的软件更新进行控制以及管理。该中心10具有作为所谓的服务器的功能。

图2是表示图1中的中心10的简要结构的框图。如图2所例示那样，中心10具备CPU(Central Processing Unit)11、RAM(Random Access Memory)12、存储装置13以及通信装置14。存储装置13是具备硬盘驱动器(HDD)、固态驱动器(SSD)等可读写的存储介质的装置。存储装置13存储用于执行软件的更新管理的程序、在软件的更新控制以及软件更新管理中使用的信息、以及各电子控制单元的软件的更新数据等。在中心10中，CPU11通过使用RAM12作为工作区域执行从存储装置13读出的程序来执行与软件更新相关的规定的处理。通信装置14是用于经由图1所示的网络70与OTA管理器30进行通信的装置。

图3是图2所示的中心10的功能框图。图3所例示的中心10具备存储部16、通信部17以及控制部18。存储部16由图2所示的存储装置13实现。通信部17以及控制部18通过图2所示的CPU11使用RAM12执行存储于存储装置13的程序来实现。

存储部16存储与搭载于车辆的1个以上的电子控制单元的软件更新处理相关的信息。作为与软件更新处理相关的信息，存储部16至少存储更新管理信息和电子控制单元40a～40d的软件的更新数据。更新管理信息是按识别车辆的每个车辆识别信息(车辆ID)将表示在电子控制单元40a～40d中能够利用的软件的信息建立了关联的信息。作为表示在电子控制单元40a～40d中能够利用的软件的信息，例如可定义多个电子控制单元40a～40d的各软件的最新的版本信息的组合。另外，作为与软件更新处理相关的信息，存储部16能够存储正在车辆中实施的软件的更新状态。并且，存储部16能够存储与分别搭载于多个电子控制单元40a～40d的非易失性存储器的类别相关的信息(后述)。

通信部17作为与OTA管理器30之间进行数据、信息以及请求等的发送以及接收的发送部以及接收部发挥功能。通信部17从OTA管理器30接收软件的更新确认请求(接收部)。更新确认请求例如是在车辆中当电源或者点火装置接通(以下称为“电源接通”)时从OTA管理器30向中心10发送的信息。更新确认请求是用于基于后述的车辆构成信息来请求中心10确认是否存在电子控制单元40a～40d的更新数据的信息。另外，通信部17响应于从OTA管理器30接收到的更新确认请求来将表示更新数据的有无的信息发送至OTA管理器30(发送部)。另外，通信部17对来自OTA管理器30的分发数据包的发送请求(下载请求)进行接收(接收部)。另外，通信部17若接收到分发数据包的下载请求，则将由后述的控制部18生成的电子控制单元40a～40d的软件的更新数据的分发数据包发送至OTA管理器30(发送部)。

若通信部17从OTA管理器30接收到更新确认请求，则控制部18基于存储于存储部16的更新管理信息来针对搭载于由更新确认请求所包括的车辆ID确定的车辆的电子控制单元40a～40d判定是否存在软件的更新数据。控制部18涉及的是否存在更新数据的判定结果被通信部17发送至OTA管理器30。在控制部18判定为存在电子控制单元40a～40d的软件的更新数据的情况下，若从OTA管理器30接收到分发数据包的下载请求，则控制部18生成存储于存储部16的被判定为存在更新数据的电子控制单元的更新数据的分发数据包。

该控制部18单独地生成仅面向搭载有单库存储器的电子控制单元的更新数据的分发数据包和仅面向搭载有双库存储器的电子控制单元的更新数据的分发数据包。关于单库存储器和双库存储器将后述。仅面向搭载有单库存储器的电子控制单元的更新数据的分发数据包是“第1分发数据包”的一个例子。仅面向搭载有双库存储器的电子控制单元的更新数据的分发数据包是“第2分发数据包”的一个例子。若与非易失性存储器的类别相关的类别信息被预先储存于存储部16，则控制部18能够有意地单独生成存储器的类别不同的更新数据的分发数据包。关于类别信息将后述。这样，控制部18通过基于非易失性存储器的类别来分开生成更新数据的分发数据包，能够将面向搭载有第1类别的非易失性存储器的电子控制单元的更新数据的分发数据包和面向搭载有第2类别的非易失性存储器的电子控制单元的更新数据的分发数据包从中心10(的通信部17)向OTA管理器30单独地发送。

(2)车载网络

车载网络20具备OTA管理器30、多个电子控制单元40a～40d以及通信模块50。OTA管理器30与通信模块50经由总线60a连接。OTA管理器30与电子控制单元40a以及40b经由总线60b连接。OTA管理器30与电子控制单元40c以及40d经由总线60c连接。

OTA管理器30能够经由总线60a以及通信模块50并通过网络70与中心10实现无线通信。OTA管理器30管理OTA状态。OTA管理器30具有控制软件更新处理的流程亦即更新时序来实施成为更新对象的电子控制单元(以下称为“目标电子控制单元”)的软件更新的功能。OTA管理器30基于从中心10取得的更新数据等来控制目标电子控制单元的软件更新。目标电子控制单元是电子控制单元40a～40d中的作为软件更新对象的电子控制单元。1个以上的目标电子控制单元可以作为OTA管理器30发挥功能。也存在OTA管理器30被称为中央网关(CGW)的情况。

图4是表示图1中的OTA管理器30的简要结构的框图。如图4所例示那样，OTA管理器30具备CPU31、RAM32、ROM(Read-Only Memory)33、存储装置34以及通信装置36。CPU31、RAM32、ROM33以及存储装置34构成微型计算机35。在OTA管理器30中，CPU31通过使用RAM32作为工作区域执行从ROM33读出的程序，来执行与软件更新相关的规定的处理。通信装置36经由图1所示的总线60a～60c与通信模块50以及电子控制单元40a～40d分别进行通信。

图5是图4所示的OTA管理器30的功能框图。图5所例示的OTA管理器30具备存储部37、通信部38以及控制部39。存储部37通过图4所示的存储装置34实现。通信部38以及控制部39通过图4所示的CPU31使用RAM32执行存储于ROM33的程序来实现。

存储部37存储用于执行多个电子控制单元40a～40d的软件更新的程序(OTA管理器30的控制用程序)、在执行软件更新时使用的各种数据、以及从中心10下载了的软件的更新数据等。另外，存储部37能够存储与分别搭载于多个电子控制单元40a～40d的非易失性存储器的类别相关的类别信息(后述)。

通信部38作为与中心10之间进行数据、信息以及请求等的发送以及接收的发送部以及接收部发挥功能。通信部38例如以车辆的电源接通为契机来将软件的更新确认请求发送至中心10(发送部)。更新确认请求例如包括用于识别车辆的车辆ID和与车载网络20连接的电子控制单元40a～40d的软件的当前版本所涉及的信息。为了通过与中心10按每个车辆ID保持的软件的最新版本的比较来判定是否存在电子控制单元40a～40d的软件的更新数据而使用车辆ID以及电子控制单元40a～40d的软件的当前版本。另外，通信部38从中心10接收表示更新数据的有无的通知作为对于更新确认请求的响应(接收部)。在存在电子控制单元40a～40d的软件的更新数据的情况下，通信部38将软件的更新数据的分发数据包的下载请求发送至中心10(发送部)。然后，通信部38接收(下载)从中心10发送的分发数据包(接收部)。另外，通信部38将从电子控制单元40a～40d接收到的软件的更新状态发送至中心10(发送部)。

控制部39基于通信部38接收到的对于更新确认请求的来自中心10的响应来判定是否存在电子控制单元40a～40d的软件的更新数据。另外，控制部39对通信部38从中心10接收(下载)并储存于存储部37的分发数据包的真实性进行验证。另外，控制部39使用从中心10接收(下载)到的更新数据来控制电子控制单元40a～40d的软件更新处理(各种验证、安装、激活等)。具体而言，控制部39将通过分发数据包下载了的1个以上的更新数据转送至目标电子控制单元。控制部39使目标电子控制单元安装基于更新数据的更新软件。在安装完成后，控制部39对于目标电子控制单元指示使安装了的更新软件有效化的激活。在该软件更新处理时，控制部39恰当地控制多个电子控制单元40a～40d中的各种验证、安装、激活等的步骤。

多个电子控制单元40a～40d是用于控制车辆的各部的动作的装置(ECU：Electronic Control Unit)。在图1中，示出了车载网络20具备4个电子控制单元40a～40d的例子，但电子控制单元的数量不特别限定。例如，显示装置(HMI)可以与OTA管理器30连接。显示装置可以在电子控制单元40a～40d的软件的更新处理时进行存在更新数据这一显示、用于向车辆的用户、管理者请求对于软件更新的同意的同意请求画面的显示、以及软件更新的结果的显示等各种显示。作为显示装置，能够使用汽车导航系统等。另外，将电子控制单元与OTA管理器30连接的总线的数量也不特别限定。例如，上述的显示装置可以通过总线60a～60c以外的总线来与OTA管理器30连接。

电子控制单元40a～40d的简要结构的一个例子如图6A以及图6B所示。

图6A所示的电子控制单元40a具备CPU41、RAM42、非易失性存储器43a以及通信装置44。电子控制单元40a是“第1电子控制单元”的一个例子。CPU41通过使用RAM42作为工作区域执行从非易失性存储器43a读出的程序，来实现电子控制单元40a的功能。非易失性存储器43a是具有用于储存软件等数据的1个储存区域45的存储器(以下称为“单库存储器”)。以下，将该具有1个储存区域45的结构的非易失性存储器43a的类别称为“第1类别”。在储存区域45可以除了储存用于实现电子控制单元40a的功能的软件之外，还储存版本信息、参数数据、启动用的引导程序、软件更新用的程序等。通信装置44是用于进行与OTA管理器30、和车载网络20连接的其他电子控制单元40b～40d的通信的装置。

图6B所示的电子控制单元40b与电子控制单元40a同样，具备CPU41、RAM42、非易失性存储器43b以及通信装置44。电子控制单元40b是“第2电子控制单元”的一个例子。但是，搭载于电子控制单元40b的非易失性存储器43b是具有用于储存软件等数据的2个储存区域46a以及46b的存储器(以下称为“双库存储器”)。以下，将该具有2个储存区域46a以及46b的结构的非易失性存储器43b的类别称为“第2类别”。在储存区域46a以及46b可以除了储存用于实现电子控制单元40b的功能的软件之外，还储存版本信息、参数数据、启动用的引导程序、软件更新用的程序等。电子控制单元40b的CPU41将非易失性存储器43b所具有的2个储存区域46a以及46b中的任一方作为读出对象的储存区域(运用面)来执行储存于该读出对象的储存区域的软件。在不是读出对象的另一方的储存区域(非运用面)，能够在执行读出对象的储存区域(运用面)的程序的过程中在后台实现基于更新数据的更新软件(更新版的程序)的安装(写入)。在软件更新处理的激活(更新软件的有效化)时，通过利用电子控制单元40b的CPU41切换程序的读出对象的储存区域，能够激活更新软件。

作为具体例，设想在作为双库存储器的非易失性存储器43b的储存区域46a储存有现行的软件、在储存区域46b安装有更新软件的情况。若从OTA管理器30向电子控制单元40b指示了更新软件的激活，则例如电子控制单元40b将CPU41的读出开始地址从储存区域46a的前端地址切换为储存区域46b的前端地址。由此，电子控制单元40b能够切换该CPU41的读出对象(运用面)的储存区域，执行安装于储存区域46b的更新软件。此外，在本公开中，将1个储存区域虚拟地划分为2个面、在执行储存于一方的面的程序的过程中能够在另一方的面实现程序的写入的被称为“单面挂起存储器”的结构也被分类为第2类别的存储器。

图7中示出了与分别搭载于多个电子控制单元40a～40d的非易失性存储器的类别相关的信息亦即类别信息的一个例子。在图7所例示的类别信息中，用于识别电子控制单元的编号亦即ECU ID与搭载于该电子控制单元的非易失性存储器的类别(第1类别(单库)/第2类别(双库))建立了关联。该类别信息被存储于OTA管理器30的存储部37以及中心10的存储部16的一方或者两方而被管理。基于构成车载网络20的电子控制单元40a～40d的规格来预先创建类别信息。类别信息可以在车辆的制造时等储存于OTA管理器30的存储部37。可以由OTA管理器30在软件的更新处理时通过车载网络20内的通信从目标电子控制单元取得类别信息。另外，在类别信息由中心10管理的情况下，OTA管理器30可以经由网络70从中心10取得类别信息。

通信模块50是具有对中心10与车辆的通信进行控制的功能的单元，是用于将车载网络20与中心10连接的通信设备。通信模块50通过网络70与中心10无线连接。经由通信模块50来进行OTA管理器30涉及的车辆的认证、更新数据的下载等。该通信模块50可以构成为包含于OTA管理器30。

软件更新处理的概要

OTA管理器30例如以车辆的电源接通为契机来将软件的更新确认请求发送至中心10。更新确认请求包括用于识别车辆的车辆ID和车辆构成信息。车辆构成信息是与车载网络20连接的电子控制单元40a～40d的硬件以及软件的当前版本等与电子控制单元的状态(系统构成)相关的信息。能够通过从与车载网络20连接的电子控制单元40a～40d取得电子控制单元的识别编号(ECU ID)和电子控制单元的软件版本的识别编号(ECU Software ID)来创建车辆构成信息。为了通过与中心10按每个车辆ID保持的软件的最新版本的比较来对是否存在电子控制单元40a～40d的软件的更新数据进行判定而使用车辆ID以及电子控制单元40a～40d的软件的当前版本。中心10将表示更新数据的有无的通知发送至OTA管理器30，作为对于从OTA管理器30接收到的更新确认请求的响应。在存在电子控制单元40a～40d的软件的更新数据的情况下，OTA管理器30将分发数据包的下载请求发送至中心10。中心10根据从OTA管理器30接收到的下载请求来将更新数据的分发数据包发送至OTA管理器30。分发数据包可以除了包括更新数据的之外还包括用于验证更新数据的真实性的验证用数据、更新数据的数量、类别信息、在软件更新时使用的各种控制信息等。

OTA管理器30基于从中心10接收到的对于更新确认请求的响应来对是否存在电子控制单元40a～40d的软件的更新数据进行判定。另外，OTA管理器30对从中心10接收并储存于存储装置13的分发数据包的真实性进行验证。另外，OTA管理器30将通过分发数据包下载了的1个以上的更新数据转送至目标电子控制单元，使目标电子控制单元安装更新数据。在安装完成后，OTA管理器30指示目标电子控制单元激活所安装的更新版的软件。

另外，OTA管理器30在同意请求处理中使输出装置输出对于软件更新需要同意这一内容的通知、催促同意软件更新这一内容的输入的通知。作为输出装置，能够利用设置于车载网络20的基于显示进行通知的显示装置(未图示)、基于声响或声音进行通知的声音输出装置(未图示)。例如，在同意请求处理中，在使用显示装置作为输出装置的情况下，OTA管理器30能够使显示装置显示用于向用户或者管理者请求软件更新的同意的同意请求画面、显示在用户或者管理者同意的情况下向用户或者管理者催促按下同意按钮等特定的输入操作的通知。另外，在同意请求处理中，OTA管理器30能够使显示装置显示通知为存在电子控制单元40a～40d的软件的更新数据的语句、图标等；显示软件更新处理的执行中的限制事项等。若从用户或者管理者受理到同意了软件更新这一内容的输入，则OTA管理器30执行上述的安装以及激活的控制处理，更新目标电子控制单元的软件。

这里，在目标电子控制单元的非易失性存储器为单库存储器的情况下，原则上连续地进行安装与激活。因此，在安装的执行前，进行对于软件更新的同意请求处理。此外，即便是单库存储器的目标电子控制单元，目标电子控制单元也可能在安装完成的状态下被请求为暂时停止更新处理、即待机(暂缓)激活。另外，在目标电子控制单元的非易失性存储器为双库存储器的情况下，至少在安装的执行后且激活的执行前进行对于软件更新的同意请求处理。此外，在目标电子控制单元的非易失性存储器为双库存储器的情况下，安装执行前的对于软件的更新的同意请求处理可以进行，也可以省略。

软件更新处理由下载阶段、安装阶段以及激活阶段构成。在下载阶段中，OTA管理器30从中心10下载(接收)更新数据。在安装阶段中，OTA管理器30将下载了的更新数据转送至目标电子控制单元，并在目标电子控制单元的储存区域安装(写入)基于更新数据的更新软件。在激活阶段中，目标电子控制单元将所安装的更新软件激活(有效化)。

下载是OTA管理器30接收从中心10通过分发数据包发送的用于更新电子控制单元的软件的更新数据并存储于存储部37的处理。在下载中，OTA管理器30单独地进行面向搭载有双库存储器的电子控制单元的更新数据的接收和面向搭载有单库存储器的电子控制单元的更新数据的接收。在下载阶段中，不仅包括下载的执行，还包括下载的可否执行判断、更新数据的验证等与下载相关的一系列处理的控制。

从中心10发送至OTA管理器30的更新数据可以包括电子控制单元的更新软件(完整数据或者差分数据)、压缩更新软件而得的压缩数据、分割更新软件或者压缩数据而成的分割数据中的任一个。另外，更新数据可以包括目标电子控制单元的ECU ID(或者序列号)和更新前的目标电子控制单元的ECU Software ID。更新数据作为上述的分发数据包被下载。分发数据包中包括单个电子控制单元的更新数据或者面向存储器类别相同的多个电子控制单元的多个更新数据。

安装是OTA管理器30基于从中心10下载了的更新数据来按照所决定的顺序向多个目标电子控制单元的非易失性存储器43a以及/或者43b写入更新软件(更新版的程序)的处理。搭载有单库存储器的电子控制单元的更新数据的安装与搭载有双库存储器的电子控制单元的更新数据的安装并行进行。在安装阶段中，不仅包括安装的执行，还包括安装的可否执行判断、更新数据的转送以及更新软件的验证等与安装相关的一系列处理的控制。

在更新数据包括更新软件本身(完整数据)的情况下，在安装阶段中，OTA管理器30将更新数据(更新软件)转送至目标电子控制单元。另外，在更新数据包括更新软件的压缩数据、或者差分数据、或分割数据的情况下，可以是OTA管理器30向目标电子控制单元转送更新数据，目标电子控制单元根据更新数据生成更新软件。也可以是在OTA管理器30根据更新数据生成更新软件之后将更新软件发送至目标电子控制单元。这里，更新软件的生成能够通过压缩数据的解压、差分数据或者分割数据的组合(整合)来进行。

更新软件的安装能够由目标电子控制单元基于来自OTA管理器30的安装请求来进行。此外，接收到更新数据的特定的目标电子控制单元可以自主地进行安装而不接受来自OTA管理器30的明确的指示。

激活是目标电子控制单元将安装于非易失性存储器43a以及/或者43b的更新软件激活的处理。搭载有单库存储器的电子控制单元的更新数据的激活和搭载有双库存储器的电子控制单元的更新数据激活可以优先任一方来进行，也可以相互无优劣地进行搭载有单库存储器的电子控制单元的更新数据的激活和搭载有双库存储器的电子控制单元的更新数据激活。在激活阶段中，不仅包括激活的执行，还包括激活的可否执行判断、向车辆的用户或者管理者的对于激活的同意请求、执行结果的验证等与激活相关的一系列控制。

更新软件的激活能够由目标电子控制单元基于来自OTA管理器30的激活请求来进行。此外，接收到更新数据的特定的目标电子控制单元可以在安装完成后自主地进行安装而不接受来自OTA管理器30的明确的指示。

其中，对于多个目标电子控制单元的各个能够连续或并列地进行软件更新处理。

另外，“软件更新处理”不仅包括连续地进行下载、安装以及激活的全部的处理，还包括仅进行下载、安装以及激活中的一部分的处理。

处理

接下来，还参照图8、图9以及图10来对几个与在本实施方式所涉及的网络系统中执行的软件更新处理相关的具体例进行说明。

(1)下载的具体例

图8是对中心10以及OTA管理器30所进行的下载的具体例涉及的处理步骤进行说明的流程图。因中心10从OTA管理器30接收到分发数据包的下载请求而开始图8所例示的下载处理。

步骤S801

中心10生成面向成为软件的更新对象的目标电子控制单元(以下称为“目标ECU”)中的具有第1类别的非易失性存储器的目标ECU(以下称为“第1类别的目标ECU”)的更新数据的分发数据包。另外，中心10生成面向成为软件的更新对象的目标ECU中的具有第2类别的非易失性存储器的目标ECU(以下称为“第2类别的目标ECU”)的更新数据的分发数据包。此时，中心10能够参照存储部16所存储的类别信息来判断目标ECU所搭载的非易失性存储器的存储器类别。在分别搭载于多个电子控制单元40a～40d的非易失性存储器的类别由中心10管理的情况下，与存储器类别相关的信息可以包括在分发数据包中。若分别生成了面向第1类别的目标ECU的更新数据的分发数据包以及面向第2类别的目标ECU的更新数据的分发数据包，则处理进入至步骤S802。

步骤S802

中心10将面向第1类别的目标ECU的更新数据的分发数据包以及面向第2类别的目标ECU的更新数据的分发数据包分别发送至OTA管理器30。即，中心10将面向第1类别的目标ECU的更新数据的分发数据包与面向第2类别的目标ECU的更新数据的分发数据包单独地发送至OTA管理器30。若各分发数据包被发送至OTA管理器30，则处理进入至步骤S803。

步骤S803

OTA管理器30分别接收从中心10单独地发送的面向第1类别的目标ECU的更新数据的分发数据包以及面向第2类别的目标ECU的更新数据的分发数据包。若该各分发数据包的接收完成，则处理进入至步骤S804。

步骤S804

OTA管理器30将通过分发数据包分别从中心10接收到的更新数据(以及与存储器类别相关的信息等)存储于存储部37。由此，下载处理结束。

根据该下载的具体例，OTA管理器30能够从中心10单独地接收面向第1类别的目标ECU的更新数据的分发数据包与面向第2类别的目标ECU的更新数据的分发数据包。通过该处理，在面向第1类别的目标ECU的更新数据的分发数据包与面向第2类别的目标ECU的更新数据的分发数据包中的任一个的更新数据的下载失败的情况下，只要仅再次下载该下载失败的更新数据的分发数据包即可。因此，能够使软件更新尽早完成。

(2)安装的具体例

图9是用于对OTA管理器30以及目标ECU所进行的具体例涉及的安装的处理步骤进行说明的流程图。在至少1个目标ECU的更新数据的下载完成之后且因满足规定的条件(判断为可执行安装、更新数据的验证通过等)而开始图9所例示的安装的具体例。

步骤S901

OTA管理器30取得搭载于目标ECU的非易失性存储器的类别(第1类别/第2类别)。在OTA管理器30管理类别信息的情况下，OTA管理器30能够通过参照存储于存储部37的类别信息(图7)来取得各目标ECU的存储器类别。在中心10管理类别信息的情况下，OTA管理器30能够通过参照包括在分发数据包中而接收到的存储器类别的信息来取得各目标ECU的存储器类别。若取得了目标ECU的存储器类别，则处理进入至步骤S902。

步骤S902

OTA管理器30以及各目标ECU并行开始第1类别的目标ECU的更新软件的安装和第2类别的目标ECU的更新软件的安装。安装是基于更新数据来向目标ECU的非易失性存储器的储存区域写入更新软件的处理。在更新数据包括更新软件本身的情况下，通过将更新数据从OTA管理器30转送至目标电子控制单元来安装。无论搭载于目标ECU的非易失性存储器的类别(第1类别/第2类别)如何，均同时或者按照规定的顺序开始向该目标ECU的安装。此外，第1类别的目标ECU的更新软件的安装与第2类别的目标ECU的更新软件的安装不需要总是并列进行。例如，目标ECU的更新软件的安装可以按照更新数据的下载完成的顺序来进行，也可以根据规定的更新软件的组合来进行。若开始对于各目标ECU的并行的安装，则处理进入至步骤S903。

步骤S903

OTA管理器30对全部(第1类别以及第2类别)的目标ECU中的更新软件的安装是否完成进行判断。在OTA管理器30从各目标ECU接收到完成通知的情况下，OTA管理器30可以判断为全部的目标ECU中的更新软件的安装完成。或者，也可以在从安装的开始起经过了规定的时间后的情况下，OTA管理器30判断为全部的目标ECU中的更新软件的安装完成。规定的时间例如能够设定为各个安装所需的最大的时间以上。若OTA管理器30判断为全部的目标ECU中的更新软件的安装完成(步骤S903，是)，则对于目标ECU的安装完成，本安装处理结束。若OTA管理器30判断为存在更新软件的安装未完成的目标ECU(步骤S903，否)，则反复进行步骤S903。

根据上述安装的具体例，无论搭载于目标ECU的非易失性存储器的类别(第1类别/第2类别)如何，均并行进行各目标ECU的更新软件的安装。通过该处理，在先行的任一个更新软件的安装失败的情况下，能够与当前正实施的其他更新软件的安装并行进行该失败的更新软件的再安装。因此，能够使软件更新尽早完成。另外，存在为了实现规定的车辆的功能而利用多个目标ECU的情况。在这种情况下，若仅对为了实现规定的车辆的功能而利用的目标ECU中的一部分进行软件更新、而不对剩余的目标ECU进行软件更新，则存在无法实现规定的车辆的功能的可能性。即，存在多个目标ECU间无法取得匹配的可能性。通过对于多个目标ECU并行安装更新软件，容易取得目标ECU间的匹配。

(3)激活的具体例

图10是对OTA管理器30以及目标ECU所进行的激活的具体例涉及的处理步骤进行说明的流程图。在第1类别的目标ECU的更新软件的安装以及第2类别的目标ECU的更新软件的安装分别完成之后且因满足规定的条件(判断为可执行激活、更新数据的验证通过等)而开始图10所例示的激活处理。

步骤S1001

OTA管理器30以及第1类别的目标ECU开始已被写入至第1类别的目标ECU的非易失性存储器的储存区域的更新软件的激活。针对第1类别的目标ECU的全部同时或者按照规定的顺序进行该激活的开始。若开始第1类别的目标ECU中的更新软件的激活，则处理进入至步骤S1002。

步骤S1002

OTA管理器30以及第2类别的目标ECU开始已被写入至第2类别的目标ECU的非易失性存储器的储存区域的更新软件的激活。针对第2类别的目标ECU的全部同时或者按照规定的顺序进行该激活的开始。此外，第2类别的目标ECU的更新软件的激活可以在第1类别的目标ECU的更新软件的激活全部完成之后开始。第2类别的目标ECU的更新软件的激活也可以在第1类别的目标ECU的预先决定的一部分更新软件的激活完成之后开始。若开始第2类别的目标ECU中的更新软件的激活，则处理进入至步骤S1003。

步骤S1003

OTA管理器30对全部(第1类别以及第2类别)的目标ECU中的更新软件的激活是否完成进行判断。在OTA管理器30接收到来自各目标ECU的完成通知的情况下，OTA管理器30可以判断为更新软件的激活在全部的目标ECU中完成。也可以在从激活的开始起经过了规定的时间后的情况下，OTA管理器30判断为更新软件的激活在全部的目标ECU中完成。规定的时间例如能够设定为各个目标ECU的激活所需的最大的时间以上。若OTA管理器30判断为全部的目标ECU中的更新软件的激活完成(步骤S1003，是)，则对于目标ECU的激活完成，本激活处理结束。若OTA管理器30判断为存在更新软件的激活未完成的目标ECU(步骤S1003，否)，则反复进行步骤S1003。

根据上述激活的具体例，能够在确认了第1类别的目标ECU的软件更新成功之后，实施第2类别的目标ECU的软件更新。能够恰当地执行在构成中包括搭载有单库存储器的目标ECU与搭载有双库存储器的目标ECU双方的系统的软件更新处理。此外，作为激活的处理，也可以是首先开始对于第2类别的目标ECU的更新软件的激活(步骤S1002)、接着开始对于第1类别的目标ECU的更新软件的激活(步骤S1001)。

作用/效果

如以上那样，根据本公开的一个实施方式所涉及的网络系统，OTA管理器通过单独的分发数据包从中心接收面向搭载有单库存储器(第1类别的非易失性存储器)的电子控制单元的更新数据和面向搭载有双库存储器(第2类别的非易失性存储器)的电子控制单元的更新数据。而且，OTA管理器基于并列接收到的各更新数据来并行进行搭载有单库存储器的电子控制单元的更新软件的安装和搭载有双库存储器的电子控制单元的更新软件的安装。

通过该处理，在因通信异常等而无法正常收发分发数据包时，只要仅再次收发该分发数据包(无法正常收发的分发数据包)即可。能够抑制中心与OTA管理器之间的通信量(通信负荷)的增加。另外，在更新软件的安装失败时，能够与其他更新软件的安装并行进行安装失败的更新软件的再安装。因此，能够使软件更新尽早完成。

以上，对本公开技术的一个实施方式进行了说明，但本公开不仅能够理解为OTA管理器，还能够理解为具备处理器和存储器的OTA管理器所执行的方法、程序、存储有程序的计算机可读取的非暂时性存储介质、能够与OTA管理器通信的中心、具备中心和OTA管理器的系统、或具备OTA管理器的车辆等。另外，中心可以具备1个以上的处理器。OTA管理器可以具备1个以上的处理器。

本公开技术能够在用于更新电子控制单元的软件的网络系统中利用。

Claims (11)

1.一种OTA管理器，构成为对搭载于车辆的第1电子控制单元的软件更新和搭载于所述车辆的第2电子控制单元的软件更新进行控制，

所述OTA管理器的特征在于，包括：

通信部，构成为从中心单独地接收面向所述第1电子控制单元的更新数据的第1分发数据包和面向所述第2电子控制单元的更新数据的第2分发数据包，所述第1电子控制单元具备第1类别的非易失性存储器，所述第1类别的非易失性存储器具有1个储存区域，所述第2电子控制单元具备第2类别的非易失性存储器，所述第2类别的非易失性存储器具有2个储存区域；和

控制部，构成为基于接收到的所述更新数据来对于成为更新对象的多个电子控制单元并行执行所述软件更新的控制。

2.根据权利要求1所述的OTA管理器，其特征在于，

所述通信部构成为从所述中心取得类别信息，所述类别信息表示搭载于所述电子控制单元的非易失性存储器是所述第1类别的非易失性存储器还是所述第2类别的非易失性存储器。

3.根据权利要求1或2所述的OTA管理器，其特征在于，

还包括构成为存储类别信息的存储部(37)，所述类别信息表示搭载于所述电子控制单元的非易失性存储器是所述第1类别的非易失性存储器还是所述第2类别的非易失性存储器。

4.根据权利要求2或3所述的OTA管理器，其特征在于，

所述控制部构成为基于所述类别信息和接收到的所述更新数据来对于成为所述更新对象的多个电子控制单元执行所述软件更新的控制。

5.根据权利要求1所述的OTA管理器，其特征在于，

所述控制部构成为基于所述更新数据来对于所述第1电子控制单元和所述第2电子控制单元并行执行所述软件更新的控制。

6.根据权利要求1所述的OTA管理器，其特征在于，

所述控制部构成为对于成为所述更新对象的多个电子控制单元并行转送接收到的所述更新数据。

7.一种系统，其特征在于，包括：

OTA管理器，构成为对搭载于车辆的第1电子控制单元的软件更新和搭载于所述车辆的第2电子控制单元的软件更新进行控制；和

中心，构成为与所述OTA管理器进行通信，

其中，

所述中心构成为将面向所述第1电子控制单元的更新数据的第1分发数据包和面向所述第2电子控制单元的更新数据的第2分发数据包单独地向所述OTA管理器发送，所述第1电子控制单元具备第1类别的非易失性存储器，所述第1类别的非易失性存储器具有1个储存区域，所述第2电子控制单元具备第2类别的非易失性存储器，所述第2类别的非易失性存储器具有2个储存区域，

所述OTA管理器构成为单独地接收所述中心发送的所述第1分发数据包以及所述第2分发数据包，

所述OTA管理器构成为基于接收到的所述更新数据来对于成为更新对象的多个电子控制单元并行执行所述软件更新的控制。

8.根据权利要求7所述的系统，其特征在于，

所述中心以及所述OTA管理器的至少一方构成为存储类别信息，该类别信息表示搭载于所述电子控制单元的非易失性存储器是所述第1类别的非易失性存储器还是所述第2类别的非易失性存储器。

9.一种方法，由构成为对搭载于车辆的第1电子控制单元的软件更新和搭载于所述车辆的第2电子控制单元的软件更新进行控制的OTA管理器执行，所述OTA管理器具备存储器和1个以上的处理器，

所述方法的特征在于，包括：

从中心单独地接收面向所述第1电子控制单元的更新数据的第1分发数据包和面向所述第2电子控制单元的更新数据的第2分发数据包，所述第1电子控制单元具备第1类别的非易失性存储器，所述第1类别的非易失性存储器具有1个储存区域，所述第2电子控制单元具备第2类别的非易失性存储器，所述第2类别的非易失性存储器具有2个储存区域；和

基于接收到的所述更新数据来对于成为更新对象的多个电子控制单元并行执行所述软件更新的控制。

10.一种非暂时性存储介质，储存有能够由1个或者多个OTA管理器的计算机执行且使所述1个或者多个OTA管理器的计算机执行以下功能的命令，所述OTA管理器构成为对搭载于车辆的第1电子控制单元的软件更新和搭载于所述车辆的第2电子控制单元的软件更新进行控制，所述OTA管理器具备存储器和1个以上的处理器，

所述非暂时性存储介质的特征在于，所述功能包括：

从中心单独地接收面向所述第1电子控制单元的更新数据的第1分发数据包和面向所述第2电子控制单元的更新数据的第2分发数据包，所述第1电子控制单元具备第1类别的非易失性存储器，所述第1类别的非易失性存储器具有1个储存区域，所述第2电子控制单元具备第2类别的非易失性存储器，所述第2类别的非易失性存储器具有2个储存区域；和

基于接收到的所述更新数据来对于成为更新对象的多个电子控制单元并行执行所述软件更新的控制。

11.一种车辆，其特征在于，

搭载有权利要求1～6中任一项所述的OTA管理器。

Images