CN115509567A - 中心、ota管理器、系统、方法、非暂时性存储介质 - Google Patents

Abstract

本发明涉及中心、OTA管理器、系统、方法、非暂时性存储介质及车辆，该中心包括：通信部，构成为与构成为基于更新数据来控制被搭载于车辆的多个电子控制单元的软件更新的OTA管理器通信，并将面向搭载了具有1个储存区域的第1类别的非易失性存储器的第1电子控制单元的更新数据亦即第1类别用更新数据、和面向搭载了具有2个储存区域的第2类别的非易失性存储器的第2电子控制单元的更新数据亦即第2类别用更新数据向上述OTA管理器发送；和控制部，构成为基于中心与OTA管理器之间的通信状况来控制第1类别用更新数据和第2类别用更新数据向OTA管理器的发送。其中，第1电子控制单元和第2电子控制单元包含于多个电子控制单元。

Description

中心、OTA管理器、系统、方法、非暂时性存储介质

技术领域

本公开涉及中心、OTA管理器、系统、方法、非暂时性存储介质以及车辆。

背景技术

在车辆搭载有用于控制车辆的动作的多个电子控制单元。电子控制单元具备处理器、RAM那样的暂时性存储部、闪速ROM那样的非易失性存储部亦即非易失性存储器，通过处理器执行存储于非易失性存储器的软件来实现电子控制单元的控制功能。各电子控制单元所存储的软件能够改写，通过更新为更新的版本的软件，能够改善各电子控制单元的功能、追加新的车辆控制功能。

作为更新电子控制单元的软件的技术，公知有下述的OTA(Over The Air：空中下载)技术：通过将与车载网络连接的车载通信设备和因特网等通信网络无线连接，担负车辆的软件的更新处理的装置经由无线通信从服务器下载软件，并将下载了的软件安装于电子控制单元，来进行电子控制单元的软件更新、追加。例如，参照日本特开2004－326689。

作为搭载于电子控制单元的非易失性存储器的类别，存在具有用于存储软件等数据的1个储存区域的存储器(单库存储器)和具有用于储存软件等数据的2个储存区域的存储器(双库存储器)，存在根据电子控制单元的规格等来区分使用的情况。搭载有双库存储器的电子控制单元能够在2个储存区域分别储存新旧2个版本的数据。

在对于车辆进行软件更新的事件亦即活动中，存在搭载有单库存储器的电子控制单元和搭载有双库存储器的电子控制单元两方成为作为更新软件的对象的电子控制单元的情况。在搭载有该单库存储器的电子控制单元和搭载有双库存储器的电子控制单元中，更新失败时的恢复方法因存储器的构造的原因而不同。

因此，在将搭载有单库存储器的电子控制单元和搭载有双库存储器的电子控制单元作为成为更新对象的电子控制单元混在一起的活动应用于车辆的情况下，需要考虑成为更新对象的电子控制单元的存储器构造不同这一情况来执行下载以及安装。

发明内容

本公开提供能够执行适应于单库存储器以及双库存储器的软件更新的中心、OTA管理器、系统、方法、非暂时性存储介质以及车辆。

本公开的第一方式所涉及的中心包括：通信部，构成为与构成为基于更新数据对被搭载于车辆的多个电子控制单元的软件更新进行控制的OTA管理器通信，并将面向搭载了具有1个储存区域的第1类别的非易失性存储器的第1电子控制单元的上述更新数据亦即第1类别用更新数据、和面向搭载了具有2个储存区域的第2类别的非易失性存储器的第2电子控制单元的上述更新数据亦即第2类别用更新数据向上述OTA管理器发送；和控制部，构成为基于上述中心与上述OTA管理器之间的通信状况来控制上述第1类别用更新数据和上述第2类别用更新数据向上述OTA管理器的发送。其中，上述第1电子控制单元和上述第2电子控制单元包含于上述多个电子控制单元。

本发明的第二方式所涉及的OTA管理器包括：通信部，构成为从中心接收面向搭载了具有1个储存区域的第1类别的非易失性存储器的第1电子控制单元的第1类别用更新数据、和面向搭载了具有2个储存区域的第2类别的非易失性存储器的第2电子控制单元的第2类别用更新数据；和控制部，构成为基于上述中心与上述OTA管理器之间的通信状况来控制上述第1类别用更新数据和上述第2类别用更新数据的从上述中心的接收。其中，上述第1电子控制单元和上述第2电子控制单元包含于被搭载于车辆的多个电子控制单元，并且上述第1类别用更新数据和上述第2类别用更新数据分别是用于控制上述多个电子控制单元的软件更新的更新数据。

本发明的第三方式所涉及的系统包括：OTA管理器，构成为基于更新数据对被搭载于车辆的多个电子控制单元的软件更新进行控制；和中心。上述中心具备：第1通信部，构成为与上述OTA管理器通信，并将面向搭载了具有1个储存区域的第1类别的非易失性存储器的第1电子控制单元的上述更新数据亦即第1类别用更新数据、和面向搭载了具有2个储存区域的第2类别的非易失性存储器的第2电子控制单元的上述更新数据亦即第2类别用更新数据向上述OTA管理器发送；和控制部，构成为基于上述中心与上述OTA管理器之间的通信状况来控制上述第1类别用更新数据和上述第2类别用更新数据向上述OTA管理器的发送。上述OTA管理器具备第2通信部，该第2通信部构成为接收上述中心发送出的上述第1类别用更新数据和上述第2类别用更新数据。其中，上述第1电子控制单元和上述第2电子控制单元包含于上述多个电子控制单元。

本发明的第四方式所涉及的方法由构成为与OTA管理器通信的中心执行，该OTA管理器具备一个或者多个处理器和一个或者多个存储器并构成为基于更新数据来控制被搭载于车辆的多个电子控制单元的软件更新。上述方法包括：将面向搭载了具有1个储存区域的第1类别的非易失性存储器的第1电子控制单元的上述更新数据亦即第1类别用更新数据、和面向搭载了具有2个储存区域的第2类别的非易失性存储器的第2电子控制单元的上述更新数据亦即第2类别用更新数据向上述OTA管理器发送；和基于上述中心与上述OTA管理器之间的通信状况来控制上述第1类别用更新数据和上述第2类别用更新数据向上述OTA管理器的发送。其中，上述第1电子控制单元和上述第2电子控制单元包含于上述多个电子控制单元。

本发明的第五方式所涉及的非暂时性存储介质存储有能够由构成为与OTA管理器通信的中心的计算机执行并使上述计算机执行第四方式的方法的命令，该OTA管理器具备一个或者多个处理器和一个或者多个存储器并构成为控制被搭载于车辆的电子控制单元的软件更新。

本发明的第六方式所涉及的车辆包括第二方式所涉及的OTA管理器。

根据本公开的各方式，能够基于中心与车辆(OTA管理器)之间的通信状况来恰当地执行搭载单库存储器以及双库存储器两方的车辆中的软件更新(下载)。

附图说明

以下，参照附图对本发明的示例性实施例的特征、优点、技术及工业重要性进行说明，在附图中相同的附图标记表示相同的构成要素，其中：

图1是表示实施方式所涉及的网络系统的整体结构的框图。

图2是表示中心的简要结构的框图。

图3是中心的功能框图。

图4是表示OTA管理器的简要结构的框图。

图5是OTA管理器的功能框图。

图6A是表示电子控制单元的简要结构的一个例子的框图。

图6B是表示电子控制单元的简要结构的一个例子的框图。

图7是表示类别信息的一个例子的图。

图8是中心以及OTA管理器所进行的下载处理步骤的流程图例。

图9是OTA管理器以及目标电子控制单元所进行的安装处理步骤的流程图例。

图10是OTA管理器以及目标电子控制单元所进行的激活处理步骤的流程图例。

具体实施方式

在本公开的网络系统中，基于中心与车辆之间的通信状况来执行适宜于成为更新对象的电子控制单元所具有的存储器类别(单库存储器/双库存储器)的更新数据的下载。通过该处理，能够抑制直至使软件更新后的电子控制单元正常启动为止所花费的时间。

以下，参照附图对本公开的一个实施方式详细地进行说明。

实施方式

结构

图1是表示本公开的一个实施方式所涉及的网络系统的整体结构的框图。图1所示的网络系统是用于对被搭载于车辆的多个电子控制单元40a～40d的软件进行更新的系统，具备位于车辆之外的中心10和在车辆内构建的车载网络20。

(1)中心

中心10能够经由网络70与车载网络20所具备的后述的OTA管理器30通信。中心10能够与OTA管理器30之间进行电子控制单元40a～40d的软件的更新数据的发送、表示软件更新处理的进展状况的通知的接收等，对与OTA管理器30连接的多个电子控制单元40a～40d的软件更新进行控制以及管理。该中心10具有作为所谓的服务器的功能。

图2是表示图1中的中心10的简要结构的框图。如图2所示，中心10具备CPU(Central Processing Unit)11、RAM(Random Access Memory)12、存储装置13以及通信装置14。其中，CPU11、RAM12、存储装置13以及通信装置14的数量分别并不局限于1个。存储装置13是具备硬盘驱动器(HDD)、固态驱动器(SSD)等可读写的存储介质的装置，存储用于执行软件的更新管理的程序、在软件的更新控制以及更新管理中使用的信息、以及各电子控制单元的软件的更新数据等。在中心10中，CPU11通过使用RAM12作为工作区域执行从存储装置13读出的程序来执行与软件更新相关的规定的处理。通信装置14是用于经由网络70与OTA管理器30进行通信的装置。

图3是图2所示的中心10的功能框图。图3所示的中心10具备存储部16、通信部17以及控制部18。存储部16的功能通过图2所示的存储装置13来实现。通信部17以及控制部18的功能通过图2所示的CPU11使用RAM12执行存储于存储装置13的程序来实现。

存储部16对与被搭载于车辆的1个以上的电子控制单元的软件更新处理相关的信息进行存储。作为与软件更新处理相关的信息，存储部16至少存储按识别车辆的每个车辆识别信息(车辆ID)将表示在电子控制单元40a～40d中能够利用的软件的信息建立了关联的更新管理信息和电子控制单元40a～40d的软件的更新数据(或包括更新数据的分发数据包)。作为表示在电子控制单元40a～40d中能够利用的软件的信息，例如可定义多个电子控制单元40a～40d的各软件的最新的版本信息的组合。另外，作为与软件更新处理相关的信息，存储部16能够存储表示在车辆中正被实施的软件的更新状态的更新状况。并且，存储部16能够存储与分别搭载于多个电子控制单元40a～40d的非易失性存储器的类别相关的信息(后述)。

通信部17作为与OTA管理器30之间进行数据、信息以及请求等的发送及接收的发送部以及接收部发挥功能。通信部17从OTA管理器30接收软件的更新确认请求(接收部)。更新确认请求例如是当在车辆中电源或者点火装置被接通(以下称为“电源接通”)时从OTA管理器30向中心10发送的信息，是用于基于后述的车辆构成信息来请求中心10确认是否存在电子控制单元40a～40d的更新数据的信息。另外，通信部17响应于从OTA管理器30接收到的更新确认请求来将表示更新数据的有无的信息发送至OTA管理器30(发送部)。另外，通信部17对来自OTA管理器30的分发数据包的发送请求(下载请求)进行接收(接收部)。另外，通信部17若接收到分发数据包的下载请求，则基于中心10与OTA管理器30之间的通信状况将包括电子控制单元40a～40d的软件的更新数据的分发数据包(后述)发送至OTA管理器30。

若通信部17从OTA管理器30接收到更新确认请求，则控制部18基于存储于存储部16的更新管理信息来针对被搭载于由更新确认请求所包括的车辆ID确定的车辆的电子控制单元40a～40d判定是否存在软件的更新数据。控制部18涉及的是否存在更新数据的判定结果由通信部17发送至OTA管理器30。在控制部18判定为存在电子控制单元40a～40d的软件的更新数据的情况下，若从OTA管理器30接收到分发数据包的下载请求，则控制部18基于中心10与OTA管理器30之间的通信状况来控制发送至OTA管理器30的更新数据。另外，控制部18根据需要来生成包括存储于存储部16的相应的更新数据的分发数据包。

(2)车载网络

车载网络20具备OTA管理器30、多个电子控制单元40a～40d以及通信模块50。OTA管理器30与通信模块50经由总线60a连接。OTA管理器30与电子控制单元40a以及40b经由总线60b连接。OTA管理器30与电子控制单元40c以及40d经由总线60c连接。

OTA管理器30能够经由总线60a以及通信模块50通过网络70与中心10实现无线通信。该OTA管理器30是具有管理OTA状态并控制软件更新处理的流程亦即更新时序来实施成为更新对象的电子控制单元(以下称为“目标电子控制单元”)的软件更新的功能的装置。OTA管理器30基于从中心10取得的更新数据等来控制电子控制单元40a～40d中的目标电子控制单元的软件更新。OTA管理器30也存在被称为中央网关(CGW)的情况。

图4是表示图1中的OTA管理器30的简要结构的框图。如图4所示，OTA管理器30具备CPU31、RAM32、ROM(Read-Only Memory)33、存储装置34以及通信装置36。CPU31、RAM32、ROM33以及存储装置34构成微型计算机35。其中，微型计算机35的数量不局限于1个。在OTA管理器30中，CPU31通过使用RAM32作为工作区域执行从ROM33读出的程序，来执行与软件更新相关的规定的处理。通信装置36是用于经由图1所示的总线60a～60c与通信模块50以及电子控制单元40a～40d分别进行通信的装置。

图5是图4所示的OTA管理器30的功能框图。图5所示的OTA管理器30具备存储部37、通信部38以及控制部39。存储部37的功能通过图4所示的存储装置34来实现。通信部38以及控制部39的功能通过图4所示的CPU31使用RAM32执行存储于ROM33的程序来实现。

存储部37除了存储用于执行多个电子控制单元40a～40d的软件更新的程序(OTA管理器30的控制用程序)、在执行软件更新时使用的各种数据之外，还存储从中心10下载了的软件的更新数据等。另外，存储部37能够对与分别搭载于多个电子控制单元40a～40d的非易失性存储器的类别相关的信息(后述)进行存储。

通信部38作为与中心10之间进行数据、信息以及请求等的发送及接收的发送部以及接收部发挥功能。通信部38例如以车辆的电源接通为契机来将软件的更新确认请求发送至中心10(发送部)。更新确认请求例如包括用于识别车辆的车辆ID和与车载网络20连接的电子控制单元40a～40d的软件的当前版本所涉及的信息。为了通过与中心10按每个车辆ID保持的软件的最新版本的比较来判定是否存在电子控制单元40a～40d的软件的更新数据而使用车辆ID以及电子控制单元40a～40d的软件的当前版本。另外，通信部38从中心10接收表示更新数据的有无的通知作为对于更新确认请求的响应(接收部)。在存在电子控制单元40a～40d的软件的更新数据的情况下，通信部38将软件的更新数据的分发数据包的下载请求发送至中心10(发送部)，基于控制部39涉及的控制来接收(下载)基于中心10与OTA管理器30之间的通信状况而从中心10发送的分发数据包(接收部)。另外，通信部38将电子控制单元40a～40d发送的软件的更新状态发送至中心10(发送部)。

控制部39基于通信部38接收到的对于更新确认请求的来自中心10的响应来判定是否存在电子控制单元40a～40d的软件的更新数据。另外，控制部39基于自身的控制来对通信部38从中心10接收(下载)并储存于存储部37的分发数据包的真实性进行验证。另外，控制部39使用从中心10接收(下载)到的更新数据来控制电子控制单元40a～40d的软件更新处理(各种验证、安装、激活等)。具体而言，控制部39将利用分发数据包下载了的1个以上的更新数据转送至目标电子控制单元，使目标电子控制单元安装基于更新数据的更新软件。在安装完成后，控制部39对于目标电子控制单元指示使安装了的更新软件有效化的激活。在该软件更新处理时，控制部39适宜地控制多个电子控制单元40a～40d中的各种验证、安装、激活等的顺序。

多个电子控制单元40a～40d是用于控制车辆的各部的动作的装置(ECU：Electronic Control Unit)。在图1中，示出了车载网络20具备4个电子控制单元40a～40d的例子，但电子控制单元的数量不特别限定。例如，用于在电子控制单元40a～40d的软件的更新处理时进行存在更新数据这一情况的显示、用于向车辆的用户、管理者请求对于软件更新的同意的同意请求画面的显示、以及软件更新的结果的显示等各种显示的显示装置(HMI)可以与OTA管理器30连接。作为显示装置，能够使用汽车导航系统等。另外，将电子控制单元与OTA管理器30连接的总线的数量也不特别限定。例如，上述的显示装置可以通过总线60a～60c以外的总线与OTA管理器30连接。

电子控制单元40a～40d的简要结构的一个例子如图6A以及图6B所示。

图6A所示的电子控制单元40a具备CPU41、RAM42、非易失性存储器43a以及通信装置44。CPU41通过使用RAM42作为工作区域执行从非易失性存储器43a读出的程序，来实现电子控制单元40a的功能。非易失性存储器43a是具有用于储存软件等数据的1个储存区域45的存储器(以下称为“单库存储器”)。以下，将该具有1个储存区域45的结构的非易失性存储器43a的存储器类别称为“第1类别”。存在在储存区域45除了储存有用于实现电子控制单元40a的功能的软件之外还储存有版本信息、参数数据、启动用的引导程序、软件更新用的程序等的情况。通信装置44是用于进行和与OTA管理器30、车载网络20连接的其他电子控制单元40b～40d的通信的装置。

图6B所示的电子控制单元40b与电子控制单元40a同样，具备CPU41、RAM42、非易失性存储器43b以及通信装置44。其中，搭载于电子控制单元40b的非易失性存储器43b是具有用于储存软件等数据的2个储存区域46a以及46b的存储器(以下称为“双库存储器”)。以下，将该具有2个储存区域46a以及46b的结构的非易失性存储器43b的类别称为“第2类别”。存在在储存区域46a以及46b除了储存有用于实现电子控制单元40b的功能的软件之外还储存有版本信息、参数数据、启动用的引导程序、软件更新用的程序等的情况。电子控制单元40b的CPU41将非易失性存储器43b所具有的2个储存区域46a以及46b中的任一方作为读出对象的储存区域(运用面)，执行储存于该读出对象的储存区域的软件。在不是读出对象的另一方的储存区域(非运用面、写入面)，在执行读出对象的储存区域(运用面)的程序的过程中，能够在后台实现基于更新数据的更新软件(更新版的程序)的安装(写入)。在软件更新处理中的激活(更新软件的有效化)时，能够通过利用电子控制单元40b的CPU41切换程序的读出对象的储存区域来激活更新软件。

作为具体例，设想在作为双库存储器的非易失性存储器43b的储存区域46a储存有现行的软件、在储存区域46b安装有更新软件的情况。若从OTA管理器30指示了新软件的激活，则例如通过电子控制单元40b将CPU41的读出开始地址从储存区域46a的前端地址切换为储存区域46b的前端地址，能够切换该CPU41的读出对象(运用面)的储存区域，执行被安装于储存区域46b的更新软件。此外，在本公开中，将1个储存区域虚拟地划分为2个面并在执行储存于一方的面的程序的过程中能够在另一方的面实现软件(程序)的写入的被称为“单面挂起存储器”的结构也被分类为第2类别的存储器。

图7表示了与分别搭载于多个电子控制单元40a～40d的非易失性存储器的类别相关的信息亦即类别信息的一个例子。在图7例示的类别信息中，将用于识别电子控制单元的编号亦即ECU＿ID和搭载于该电子控制单元的非易失性存储器的类别(第1类别(单库)/第2类别(双库))建立了关联。该类别信息被存储于OTA管理器30的存储部37以及中心10的存储部16的一方或者两方来管理。基于构成车载网络20的电子控制单元40a～40d的规格来预先创建类别信息，可以在车辆的制造时等储存于OTA管理器30的存储部37，也可以在软件的更新处理时由OTA管理器30通过车载网络20内的通信从目标电子控制单元取得。另外，在类别信息由中心10管理的情况下，OTA管理器30可以经由网络70从中心10取得类别信息。

通信模块50是具有对中心10与车辆的通信进行控制的功能的单元，是用于将车载网络20与中心10连接的通信设备。通信模块50通过网络70与中心10无线连接，进行OTA管理器30涉及的车辆的认证、更新数据的下载等。该通信模块50可以构成为包含于OTA管理器30。

软件更新处理的概要

OTA管理器30例如以车辆的电源接通为契机来将软件的更新确认请求发送至中心10。更新确认请求包括用于识别车辆的车辆ID和与车载网络20连接的电子控制单元40a～40d的硬件以及软件的当前版本等与电子控制单元的状态(系统构成)相关的信息亦即车辆构成信息。能够通过从与车载网络20连接的电子控制单元40a～40d取得电子控制单元的识别编号(ECU＿ID)和电子控制单元的软件版本的识别编号(ECU＿Software＿ID)来创建车辆构成信息。为了通过与中心10按每个车辆ID保持的软件的最新版本的比较来判定是否存在电子控制单元40a～40d的软件的更新数据而使用车辆ID以及电子控制单元40a～40d的软件的当前版本。中心10将表示更新数据的有无的通知发送至OTA管理器30作为对于从OTA管理器30接收到的更新确认请求的响应。在存在电子控制单元40a～40d的软件的更新数据的情况下，OTA管理器30将分发数据包的下载请求发送至中心10。中心10根据从OTA管理器30接收到的下载请求来将基于中心10与OTA管理器30之间的通信状况的更新数据的分发数据包(后述)发送至OTA管理器30。分发数据包可以除了包括更新数据之外还包括用于验证更新数据的真实性的验证用数据、更新数据的数量、类别信息、以及在软件更新时使用的各种控制信息等。

OTA管理器30基于从中心10接收到的对于更新确认请求的响应来判定是否存在电子控制单元40a～40d的软件的更新数据。另外，OTA管理器30对基于中心10与OTA管理器30之间的通信状况而从中心10接收并储存于存储装置13的分发数据包的真实性进行验证。另外，OTA管理器30将利用分发数据包下载了的1个以上的更新数据转送至目标电子控制单元，使目标电子控制单元安装更新数据。在安装完成后，OTA管理器30指示目标电子控制单元进行使安装了的更新版的软件有效的激活。

另外，OTA管理器30在同意请求处理中使输出装置输出对于软件更新需要同意这一内容的通知、催促同意软件更新这一内容的输入的通知。作为输出装置，能够利用设置于车载网络20的进行基于显示的通知的显示装置(未图示)、进行基于声音的通知的声音输出装置(未图示)等。例如，当在同意请求处理中使用显示装置作为输出装置的情况下，OTA管理器30能够使显示装置显示用于向用户或者管理者请求软件更新的同意的同意请求画面，或者使显示装置显示在用户或者管理者同意的情况下催促按下同意按钮等特定的输入操作的通知。另外，OTA管理器30在同意请求处理中能够使显示装置显示通知存在电子控制单元40a～40d的软件的更新数据这一情况的语句、图标等，或者使显示装置显示软件更新处理的执行中的限制事项等。OTA管理器30若从用户或者管理者受理到同意这一内容的输入，则执行上述的安装以及激活的控制处理，更新目标电子控制单元的软件。

这里，在目标电子控制单元的非易失性存储器为单库存储器的情况下，由于原则上连续地进行安装与激活，所以在安装的执行前进行对于软件更新的同意请求处理。此外，即便是单库存储器的目标电子控制单元，也可能在安装完成的状态下暂时停止更新处理、即请求待机(暂缓)激活。另外，在目标电子控制单元的非易失性存储器为双库存储器的情况下，至少在安装的执行后且激活的执行前进行对于软件更新的同意请求处理。此外，在目标电子控制单元的非易失性存储器为双库存储器的情况下，安装执行前的对于软件的更新的同意请求处理可以进行，也可以省略。

软件更新处理由OTA管理器30从中心10下载更新数据的阶段(下载阶段)、OTA管理器30将下载了的更新数据转送至目标电子控制单元并在目标电子控制单元的储存区域安装基于更新数据的更新软件的阶段(安装阶段)、以及目标电子控制单元将安装了的更新软件有效化的阶段(激活阶段)构成。

下载是OTA管理器30接收从中心10发送出的用于更新电子控制单元的软件的更新数据并存储于存储部37的处理。在下载中，基于中心10与OTA管理器30之间的通信状况来进行后述的使用了规定的分发数据包的面向搭载有双库存储器的电子控制单元的更新数据以及面向搭载有单库存储器的电子控制单元的更新数据的下载。在下载阶段中，不仅包括下载的执行，还包括下载的可否执行判断、更新数据的验证等与下载相关的一系列处理的控制。

从中心10发送至OTA管理器30的更新数据可以包括电子控制单元的更新软件(完整数据或者差分数据)、压缩更新软件而成的压缩数据、分割更新软件或者压缩数据的分割数据中的任一个。另外，更新数据可以包括目标电子控制单元的ECU＿ID(或者序列号)和更新前的目标电子控制单元的ECU＿Software＿ID。被下载的分发数据包中能够包括仅单个电子控制单元的更新数据或者多个电子控制单元的更新数据。

安装是OTA管理器30基于根据中心10与OTA管理器30之间的通信状况而从中心10下载了的更新数据来将更新软件(更新版的程序)按照所决定的顺序写入至多个目标电子控制单元的非易失性存储器43a以及/或者43b的处理。安装可以优先进行面向搭载了双库存储器的电子控制单元的更新数据以及面向搭载了单库存储器的电子控制单元的更新数据中的任一方，也可以相互无优劣地进行。在安装阶段中，不仅包括安装的执行，还包括安装的可否执行判断、更新数据的转送以及更新软件的验证等与安装相关的一系列处理的控制。

在更新数据包括更新软件本身(完整数据)的情况下，在安装阶段中OTA管理器30将更新数据(更新软件)转送至目标电子控制单元。另外，在更新数据包括更新软件的压缩数据、或者差分数据、或分割数据的情况下，可以是OTA管理器30向目标电子控制单元转送更新数据，目标电子控制单元根据更新数据生成更新软件，也可以是在OTA管理器30根据更新数据生成更新软件之后将更新软件转送至目标电子控制单元。这里，更新软件的生成能够通过压缩数据的解压、差分数据或者分割数据的组合(整合)来进行。

更新软件的安装能够由目标电子控制单元基于来自OTA管理器30的安装请求来进行。此外，接收到更新数据的特定的目标电子控制单元也可以自主地进行安装而不接受来自OTA管理器30的明确的指示。

激活是目标电子控制单元将安装于非易失性存储器43a以及/或者43b的更新软件有效化(激活)的处理。激活可以优先进行面向搭载了双库存储器的电子控制单元的更新数据以及面向搭载了单库存储器的电子控制单元的更新数据中的任一方，也可以相互无优劣地进行。在激活阶段中，不仅包括激活的执行，还包括激活的可否执行判断、向车辆的用户或者管理者的对于激活的同意请求、执行结果的验证等与激活相关的一系列处理的控制。

更新软件的激活能够由目标电子控制单元基于来自OTA管理器30的激活请求来进行。此外，接收到更新数据的特定的目标电子控制单元也可以在安装完成后自主地进行激活而不接受来自OTA管理器30的明确的指示。

其中，能够对于多个目标电子控制单元分别连续或并列地进行软件更新处理。

另外，本说明书中的“软件更新处理”不仅包括连续地进行下载、安装以及激活的全部的处理，还包括仅进行下载、安装以及激活中的一部分的处理。

处理

接下来，进而参照图8、图9以及图10来对在本实施方式所涉及的网络系统中执行的与软件更新处理相关的几个具体例进行说明。

(1)下载的具体例

图8是对中心10以及OTA管理器30进行的下载的具体例涉及的处理步骤进行说明的流程图。因中心10从OTA管理器30接收到分发数据包的下载要求而开始图8所例示的下载处理。

(步骤S801)

中心10对中心10与OTA管理器30之间的通信状况是否良好进行判断。能够基于担负中心10与车辆之间的通信控制的应用的执行状况(通信频带的空闲状况、通信负荷的状态)等来判断通信状况。作为一个例子，在通信频带存在规定值以上的空闲的情况下、或通信负荷小于规定值的情况下，能够定义为通信状况良好。能够考虑更新数据的大小、车辆所安装的通信环境、以及软件更新的期限等并基于后述的独立分发数据包的选择是否是所期望的状况等的判断来任意地设定该规定值。在中心10与OTA管理器30之间的通信状况良好的情况下(步骤S801，是)，处理进入至步骤S802。另一方面，在中心10与OTA管理器30之间的通信状况不良好的情况下(步骤S801，否)，处理进入至步骤S803。

(步骤S802)

中心10将面向成为软件的更新对象的目标电子控制单元中的搭载有第1类别的非易失性存储器(单库存储器)的目标电子控制单元的更新数据(以下称为“第1类别用更新数据”)和面向搭载有第2类别的非易失性存储器(双库存储器)的目标电子控制单元的更新数据(以下称为“第2类别用更新数据”)同时向OTA管理器30发送。可通过发送第1类别用更新数据和第2类别用更新数据双方被打包成1个的分发数据包亦即同一分发数据包来执行该第1类别用更新数据和第2类别用更新数据的同时发送。中心10可以基于从车辆制造商(OEM)取得的更新数据来生成同一分发数据包，也可以取得车辆制造商生成了的同一分发数据包来直接使用。第1类别用更新据和第2类别用更新数据混在一起的同一分发数据包可以按照目标电子控制单元单位分成多个而生成。若从中心10同时发送了第1类别用更新数据和第2类别用更新数据，则处理进入至步骤S804。

(步骤S803)

中心10将第1类别用更新数据和第2类别用更新数据分别向OTA管理器30发送。可通过分别独立地发送仅打包有第1类别用更新数据的分发数据包(独立分发数据包)与仅打包有第2类别用更新数据的分发数据包(独立分发数据包)来执行该第1类别用更新数据与第2类别用更新数据的独立发送。作为发送手法，可举出首先发送更新的失败概率比较低的第2类别用更新数据的独立分发数据包、接着发送第1类别用更新数据的独立分发数据包这一例子。中心10可以基于从车辆制造商(OEM)取得的更新数据来生成独立分发数据包，也可以取得车辆制造商生成了的独立分发数据包来直接使用。另外，中心10在从车辆制造商以同一分发数据包的形态取得更新数据的情况下，重新生成第1类别用更新数据的独立分发数据包和第2类别用更新数据的独立分发数据包。并且，中心10可以将车辆制造商生成了的包括多个更新数据的独立分发数据包例如按照目标电子控制单元的单位分割为多个数据包。其中，中心10能够参照存储部16所存储的类别信息来判断目标电子控制单元所搭载的非易失性存储器的存储器类别。若从中心10分别发送了第1类别用更新数据和第2类别用更新数据，则处理进入至步骤S804。

(步骤S804)

OTA管理器30接收通过分发数据包从中心10发送的更新数据。在中心10与OTA管理器30之间的通信状况良好的情况下，OTA管理器30能够通过使用了同一分发数据包的从中心10的下载处理来同时接收第1类别用更新数据和第2类别用更新数据。另外，在中心10与OTA管理器30之间的通信状况不良好的情况下，OTA管理器30能够通过使用了独立分发数据包的从中心10的下载处理来分别接收第1类别用更新数据和第2类别用更新数据。若接收到从中心10发送的分发数据包，则处理进入至步骤S805。

(步骤S805)

OTA管理器30对从中心10发送的全部的更新数据(第1类别/第2类别)的下载是否完成进行判断。全部的更新数据的下载完成能够根据是否接收到通过下载请求而向中心10请求了的更新数据的全部来进行判断。在全部的更新数据的下载完成了的情况下(步骤S805，是)，处理进入至步骤S806。另一方面，在全部的更新数据的下载未完成的情况下(步骤S806，否)，处理进入至步骤S801。

(步骤S806)

OTA管理器30将通过分发数据包从中心10分别接收到的更新数据存储于存储部37。由此，下载处理结束。

根据该下载的具体例，中心10以及OTA管理器30能够基于中心10与OTA管理器30之间的通信状况来实施适宜于各目标ECU的软件更新的更新数据的下载。

其中，在上述具体例中，以中心10侧判断中心10与OTA管理器30之间的通信状况来将同一分发数据包以及独立分发数据包中的哪一个向OTA管理器30发送的控制进行了说明。与此相对，也可以控制为通过OTA管理器30侧判断中心10与OTA管理器30之间的通信状况而对于中心10发送同一分发数据包以及独立分发数据包中的哪一个的下载要求，来接收适当的分发数据包。

(2)安装的具体例

图9是对OTA管理器30以及目标电子控制单元(以下称为“目标ECU”)进行的具体例涉及的安装的处理步骤进行说明的流程图。在至少1个第2类别用更新数据的下载完成之后且因满足规定的条件(安装可执行、更新数据的验证通过等)而开始图9所例示的安装的具体例。

(步骤S901)

OTA管理器30取得搭载于目标ECU的非易失性存储器的类别(第1类别/第2类别)。对于该存储器类别而言，在由OTA管理器30管理的情况下，能够通过参照存储于存储部37的类别信息(图7)来取得，在由中心10管理的情况下，能够通过参照包含于分发数据包而发送来的存储器类别的信息来取得。若取得了目标ECU的存储器类别，则处理进入至步骤S902。

(步骤S902)

OTA管理器30以及第2类别的目标ECU基于更新数据来开始将更新软件写入至第2类别的目标ECU的非易失性存储器的储存区域的处理亦即安装。针对第2类别的目标ECU的全部同时或者按照规定的顺序进行该安装的开始。若开始了对于第2类别的目标ECU的安装，则处理进入至步骤S903。

(步骤S903)

OTA管理器30以及第1类别的目标ECU基于更新数据来开始将更新软件写入至第1类别的目标ECU的非易失性存储器的储存区域的处理亦即安装。针对第1类别的目标ECU的全部同时或者按照规定的顺序进行该安装的开始。其中，该第1类别的目标ECU的安装可以在第2类别的目标ECU的安装全部完成之后开始，也可以在第2类别的目标ECU的预先决定的一部分的安装完成之后开始。若开始了对于第1类别的目标ECU的安装，则处理进入至步骤S904。

(步骤S904)

OTA管理器30对全部(第1类别以及第2类别)的目标ECU中的更新软件的安装是否完成进行判断。OTA管理器30可以根据存在来自各目标ECU的完成通知来判断安装的完成，也可以根据从安装的开始起经过规定的时间后来判断安装的完成。规定的时间例如能够设定为各个安装所需的最大的时间以上。若OTA管理器30判断为全部的目标ECU中的更新软件的安装完成(步骤S904，是)，则对于目标ECU的安装完成，本安装处理结束。

根据上述安装的具体例，能够使对于更新中不需要停止控制的第2类别的目标ECU的安装优先于对于更新中需要停止控制的第1类别的目标ECU的安装而开始。通过该处理，能够减少车辆(车载网络20)内的通信负荷，能够缩短直至全部的更新软件的写入完成为止不得不使车辆的控制停止的时间。

(3)激活的具体例

图10是对OTA管理器30以及目标ECU进行的激活的具体例涉及的处理步骤进行说明的流程图。在第1类别的目标ECU以及第2类别的目标ECU各自的更新软件的安装完成之后且因满足规定的条件(激活可执行、更新数据的验证通过等)而开始图10所例示的激活处理。

(步骤S1001)

OTA管理器30以及第1类别的目标ECU开始将被写入至第1类别的目标ECU的非易失性存储器的储存区域的更新软件有效化的激活。针对第1类别的目标ECU的全部同时或者按照规定的顺序进行该激活的开始。若开始第1类别的目标ECU中的更新软件的激活，则处理进入至步骤S1002。

(步骤S1002)

OTA管理器30以及第2类别的目标ECU开始将被写入至第2类别的目标ECU的非易失性存储器的储存区域的更新软件有效化的激活。针对第2类别的目标ECU的全部同时或者按照规定的顺序进行该激活的开始。其中，第2类别的目标ECU的激活可以在第1类别的目标ECU的激活全部完成之后开始，也可以在第1类别的目标ECU的预先决定的一部分激活完成之后开始。若开始了第2类别的目标ECU种的更新软件的激活，则处理进入至步骤S1003。

(步骤S1003)

OTA管理器30对全部(第1类别以及第2类别)的目标ECU中的更新软件的激活是否完成进行判断。OTA管理器30可以根据存在来自各目标ECU的完成通知来判断激活的完成，也可以根据在从激活的开始起经过了规定的时间后来判断激活的完成。规定的时间例如能够设定为各个激活所需的最大的时间以上。若被判断为全部的目标ECU中的更新软件的激活完成(步骤S1003，是)，则对于目标ECU的激活完成，本激活处理结束。

根据上述激活的具体例，首先开始对于第1类别的目标ECU的更新软件的激活，接着开始对于第2类别的目标ECU的更新软件的激活。通过该处理，由于能够在确认了第1类别的目标ECU的软件更新的成功之后，实施第2类别的目标ECU的软件更新，所以能够适宜地执行构成中包括搭载了单库存储器的目标ECU和搭载了双库存储器的目标ECU两方的系统的软件更新处理。

作用/效果

如以上那样，根据本公开的一个实施方式所涉及的网络系统，在中心与OTA管理器之间，能够基于中心与OTA管理器之间的通信状况来适宜地控制面向搭载了单库存储器(第1类别的非易失性存储器)的电子控制单元的更新数据以及面向搭载了双库存储器(第2类别的非易失性存储器)的电子控制单元的更新数据的下载方法。

通过该处理，能够进行基于中心与车辆之间的通信状况的适宜的更新数据的收发。因此，能够抑制直至使软件更新后的电子控制单元正常启动为止所花费的时间。

更具体而言，在中心与OTA管理器之间的通信负荷小于规定值的情况下，控制为利用同一个分发数据包来接收面向搭载了单库存储器的电子控制单元的更新数据(第1类别用更新数据)和面向搭载了双库存储器的电子控制单元的更新数据(第2类别用更新数据)。另外，在中心与OTA管理器之间的通信负荷为规定值以上的情况下，控制为利用独立的分发数据包来接收面向搭载了单库存储器的电子控制单元的更新数据和面向搭载了双库存储器的电子控制单元的更新数据。

通过该处理，在中心与车辆之间的通信负荷低的情况下，由于能够同时下载面向搭载了单库存储器的电子控制单元的更新数据和面向搭载了双库存储器的电子控制单元的更新数据，所以能够无延迟地推进下载后的处理。

以上，对本公开技术的一个实施方式进行了说明，但本公开不仅能够理解为中心，还能够理解为具备一个或者多个处理器和一个或者多个存储器的中心所执行的方法、程序、存储有程序的计算机可读取的非暂时性存储介质、能够与中心通信的OTA管理器、具备中心以及OTA管理器的系统、或具备OTA管理器的车辆等。

本公开技术能够在用于更新电子控制单元的软件的网络系统中利用。

Claims (9)

1.一种中心，其特征在于，包括：

通信部，构成为与构成为基于更新数据来控制被搭载于车辆的多个电子控制单元的软件更新的OTA管理器通信，并将面向搭载了具有1个储存区域的第1类别的非易失性存储器的第1电子控制单元的所述更新数据亦即第1类别用更新数据、和面向搭载了具有2个储存区域的第2类别的非易失性存储器的第2电子控制单元的所述更新数据亦即第2类别用更新数据向所述OTA管理器发送，其中，所述第1电子控制单元和所述第2电子控制单元包含于所述多个电子控制单元；和

控制部，构成为基于所述中心与所述OTA管理器之间的通信状况来控制所述第1类别用更新数据和所述第2类别用更新数据向所述OTA管理器的发送。

2.根据权利要求1所述的中心，其特征在于，

所述控制部构成为使所述通信部在所述中心与所述OTA管理器之间的通信负荷小于规定值的情况下将包括所述第1类别用更新数据和所述第2类别用更新数据的分发数据包向所述OTA管理器发送，

并且，在所述中心与所述OTA管理器之间的通信负荷为所述规定值以上的情况下将包括所述第1类别用更新数据的第1分发数据包与包括所述第2类别用更新数据的第2分发数据包独立地向所述OTA管理器发送。

3.一种OTA管理器，其特征在于，包括：

通信部，构成为从中心接收面向搭载了具有1个储存区域的第1类别的非易失性存储器的第1电子控制单元的第1类别用更新数据、和面向搭载了具有2个储存区域的第2类别的非易失性存储器的第2电子控制单元的第2类别用更新数据，其中，所述第1电子控制单元和所述第2电子控制单元包含于被搭载于车辆的多个电子控制单元，并且，所述第1类别用更新数据和所述第2类别用更新数据分别是用于控制所述多个电子控制单元的软件更新的更新数据；和

控制部，构成为基于所述中心与所述OTA管理器之间的通信状况来控制所述第1类别用更新数据和所述第2类别用更新数据的从所述中心的接收。

4.根据权利要求3所述的OTA管理器，其特征在于，

所述控制部构成为在所述中心与所述OTA管理器之间的通信负荷小于规定值的情况下，请求所述中心发送包括所述第1类别用更新数据和所述第2类别用更新数据的分发数据包，

并且，在所述中心与所述OTA管理器之间的通信负荷为所述规定值以上的情况下，请求所述中心发送包括所述第1类别用更新数据的第1分发数据包和包括所述第2类别用更新数据的第2分发数据包。

5.一种系统，其特征在于，包括：

OTA管理器，构成为基于更新数据来控制被搭载于车辆的多个电子控制单元的软件更新；和

中心，

其中，所述中心具备：

第1通信部，构成为与所述OTA管理器通信，并且，将面向搭载了具有1个储存区域的第1类别的非易失性存储器的第1电子控制单元的所述更新数据亦即第1类别用更新数据、和面向搭载了具有2个储存区域的第2类别的非易失性存储器的第2电子控制单元的所述更新数据亦即第2类别用更新数据向所述OTA管理器发送，其中，所述第1电子控制单元和所述第2电子控制单元包含于所述多个电子控制单元；和

控制部，构成为基于所述中心与所述OTA管理器之间的通信状况来控制所述第1类别用更新数据和所述第2类别用更新数据向所述OTA管理器的发送，

其中，

所述OTA管理器具备第2通信部，该第2通信部构成为接收所述中心发送出的所述第1类别用更新数据和所述第2类别用更新数据。

6.根据权利要求5所述的系统，其特征在于，

所述控制部构成为：

在所述中心与所述OTA管理器之间的通信负荷小于规定值的情况下，控制为通过包括所述第1类别用更新数据和所述第2类别用更新数据的分发数据包来进行发送，

并且，在所述中心与所述OTA管理器之间的通信负荷为所述规定值以上的情况下，控制为发送包括所述第1类别用更新数据的第1分发数据包和包括所述第2类别用更新数据的第2分发数据包。

7.一种方法，由构成为与OTA管理器通信的中心执行，该OTA管理器具备一个或者多个处理器和一个或者多个存储器并构成为基于更新数据来控制被搭载于车辆的多个电子控制单元的软件更新，

所述方法的特征在于，包括：

将面向搭载了具有1个储存区域的第1类别的非易失性存储器的第1电子控制单元的所述更新数据亦即第1类别用更新数据、和面向搭载了具有2个储存区域的第2类别的非易失性存储器的第2电子控制单元的所述更新数据亦即第2类别用更新数据向所述OTA管理器发送，其中，所述第1电子控制单元和所述第2电子控制单元包含于所述多个电子控制单元；和

基于所述中心与所述OTA管理器之间的通信状况来控制所述第1类别用更新数据和所述第2类别用更新数据向所述OTA管理器的发送。

8.一种非暂时性存储介质，其特征在于，

所述非暂时性存储介质存储有能够由构成为与OTA管理器通信的中心的计算机执行并使所述计算机执行权利要求7所述的方法的命令，该OTA管理器具备一个或者多个处理器和一个或者多个存储器并构成为控制被搭载于车辆的电子控制单元的软件更新。

9.一种车辆，其特征在于，

包括权利要求3或4所述的OTA管理器。

Images