CN115514742A - Ota管理器、中心、系统、方法、非暂时性存储介质 - Google Patents

Abstract

本发明涉及OTA管理器、中心、系统、方法、非暂时性存储介质以及车辆。该OTA管理器构成为对搭载于车辆的电子控制单元的软件更新进行控制，具备构成为从中心先于第2分发数据包来接收第1分发数据包的通信部。上述第2分发数据包是面向搭载有第2类别的非易失性存储器的上述电子控制单元的更新数据的分发数据包，上述第2类别的非易失性存储器具有2个储存区域。上述第1分发数据包是面向搭载有第1类别的非易失性存储器的上述电子控制单元的更新数据的分发数据包，上述第1类别的非易失性存储器具有1个储存区域。

Description

OTA管理器、中心、系统、方法、非暂时性存储介质

本申请主张于2021年6月7日提出的日本专利申请2021-095070号的优先权，并在此引用其全部内容。

技术领域

本公开涉及对电子控制单元的软件的更新进行控制的OTA管理器、中心、系统、方法、非暂时性存储介质以及车辆。

背景技术

在车辆搭载有用于控制车辆的动作的多个电子控制单元。电子控制单元具备处理器、RAM那样的暂时性存储部、闪速ROM那样的作为非易失性存储部的非易失性存储器。电子控制单元通过处理器执行存储于非易失性存储器的软件来实现电子控制单元的控制功能。各电子控制单元所存储的软件可改写。通过将电子控制单元的软件更新为更新的版本的软件，能够改善各电子控制单元的功能、追加新的车辆控制功能。

作为更新电子控制单元的软件的技术，公知有OTA(Over The Air：空中下载)技术。担负车辆的软件的更新处理的装置和与车载网络连接的车载通信设备通过因特网等通信网络无线连接。上述装置通过经由无线通信从服务器下载软件并将下载了的软件安装至电子控制单元，来进行电子控制单元的软件更新、追加。例如，参照日本特开2004－326689。

存在具有用于储存软件等数据的1个储存区域的存储器(单库存储器)和具有储存软件等数据的2个储存区域的存储器(双库存储器)这两种被搭载于电子控制单元的非易失性存储器。根据电子控制单元的规格等来区分使用非易失性存储器的类别。搭载有双库存储器的电子控制单元能够在2个储存区域分别储存新旧2个版本的数据。

在对于车辆进行软件更新的事件亦即活动中，存在搭载有单库存储器的电子控制单元和搭载有双库存储器的电子控制单元双方成为作为更新软件的对象的电子控制单元的情况。该情况下，若服务器将面向搭载有双库存储器的电子控制单元的更新数据和面向搭载有单库存储器的电子控制单元的更新数据汇总为1个数据包发送至担负车辆的软件的更新处理的装置，则在产生了发送异常的情况下数据重新发送所需的通信量变多。

发明内容

本公开提供能够执行适合于单库存储器以及双库存储器的软件更新的OTA管理器、中心、系统、方法、非暂时性存储介质以及车辆。

在本公开技术的第一方式中公开一种OTA管理器，构成为对搭载于车辆的电子控制单元的软件更新进行控制，上述OTA管理器具备通信部。上述通信部构成为从中心先于第1分发数据包来接收第2分发数据包。上述第2分发数据包是面向搭载有第2类别的非易失性存储器的上述电子控制单元的更新数据的分发数据包。上述第2类别的非易失性存储器具有2个储存区域。上述第1分发数据包是面向搭载有第1类别的非易失性存储器的上述电子控制单元的更新数据的分发数据包。上述第1类别的非易失性存储器具有1个储存区域。

本公开技术的第一方式所涉及的OTA管理器可以还具备控制部，该控制部构成为基于类别信息来将基于上述通信部接收到的上述更新数据的信息发送至成为更新对象的上述电子控制单元，上述类别信息表示上述电子控制单元所搭载的非易失性存储器是上述第1类别还是上述第2类别。

在本公开技术的第一方式所涉及的OTA管理器中，上述通信部可以构成为从上述中心取得上述类别信息。

本公开技术的第一方式所涉及的OTA管理器可以还具备构成为存储上述类别信息的存储部。

在本公开技术的第一方式所涉及的OTA管理器中，上述控制部可以构成为基于上述类别信息来使基于搭载有上述第2类别的非易失性存储器的上述电子控制单元的更新数据的信息优先于基于搭载有上述第1类别的非易失性存储器的上述电子控制单元的更新数据的信息而发送至成为更新对象的上述电子控制单元。

在本公开技术的第二方式中公开一种中心，构成为与OTA管理器进行通信，该OTA管理器构成为对搭载于车辆的电子控制单元的软件更新进行控制，上述中心具备构成为存储类别信息的存储部，该类别信息表示上述电子控制单元所搭载的非易失性存储器是第1类别的非易失性存储器还是第2类别的非易失性存储器。上述第1类别的非易失性存储器具有1个储存区域。第2类别的非易失性存储器具有2个储存区域。

本公开技术的第二方式所涉及的中心可以还具备第1通信部，该第1通信部构成为基于上述类别信息来将第1分发数据包和第2分发数据包发送至上述OTA管理器。上述第1分发数据包是面向搭载有上述第1类别的非易失性存储器的上述电子控制单元的更新数据的分发数据包。上述第2分发数据包是面向搭载有上述第2类别的非易失性存储器的上述电子控制单元的更新数据的分发数据包。

在本公开技术的第二方式所涉及的中心中，上述第1通信部可以构成为基于上述类别信息来将上述第2分发数据包先于上述第1分发数据包发送至上述OTA管理器。

在本公开技术的第二方式所涉及的中心中，上述第1通信部可以构成为将上述存储部所存储的上述类别信息发送至上述OTA管理器。

本公开技术的第三方式中的系统可以具备第二方式的中心和上述OTA管理器。上述中心可以具备第1通信部，该第1通信部构成为将第1分发数据包和第2分发数据包发送至上述OTA管理器。上述第1分发数据包可以是面向搭载有上述第1类别的非易失性存储器的上述电子控制单元的更新数据的分发数据包。上述第2分发数据包可以是面向搭载有上述第2类别的非易失性存储器的上述电子控制单元的更新数据的分发数据包。上述OTA管理器可以具备构成为从上述中心先于上述第1分发数据包来接收上述第2分发数据包的第2通信部。

在本公开技术的第三方式所涉及的系统中，上述OTA管理器可以具备控制部，该控制部构成为基于上述类别信息来使基于搭载有上述第2类别的非易失性存储器的上述电子控制单元的更新数据的信息优先于基于搭载有上述第1类别的非易失性存储器的上述电子控制单元的更新数据的信息而发送至成为更新对象的上述电子控制单元。

在本公开技术的第三方式所涉及的系统中，上述中心可以具备构成为存储上述类别信息的上述存储部。上述中心的上述第1通信部可以构成为将上述类别信息发送至上述OTA管理器。

在本公开技术的第四方式中公开一种方法，由对搭载于车辆的电子控制单元的软件更新进行控制的OTA管理器执行。上述OTA管理器具备存储器和1个以上的处理器。上述方法包括从中心先于第1分发数据包来接收第2分发数据包。上述第2分发数据包是面向搭载有第2类别的非易失性存储器的上述电子控制单元的更新数据的分发数据包。上述第2类别的非易失性存储器具有2个储存区域。上述第1分发数据包是面向搭载有第1类别的非易失性存储器的上述电子控制单元的更新数据的分发数据包。上述第1类别的非易失性存储器具有1个储存区域。

在本公开技术的第五方式中公开一种非暂时性存储介质，存储有能够由对搭载于车辆的电子控制单元的软件更新进行控制的OTA管理器的计算机执行且使上述计算机执行以下的功能的命令。上述OTA管理器具备存储器和1个以上的处理器。上述功能包括从中心先于第1分发数据包来接收第2分发数据包。上述第2分发数据包是面向搭载有第2类别的非易失性存储器的上述电子控制单元的更新数据的分发数据包。上述第2类别的非易失性存储器具有2个储存区域。上述第1分发数据包是面向搭载有第1类别的非易失性存储器的上述电子控制单元的更新数据的分发数据包。上述第1类别的非易失性存储器具有1个储存区域。

车辆搭载有本公开技术的第一方式所涉及的OTA管理器。

根据本公开的OTA管理器等，由于在分发数据包的通信产生了异常的情况下只要仅重新发送该分发数据包即可，所以能够执行适合于单库存储器以及双库存储器的软件更新。

附图说明

以下，参照附图对本发明的示例性实施例的特征、优点、技术及工业重要性进行说明，在附图中相同的附图标记表示相同的构成要素，其中：

图1是表示实施方式所涉及的网络系统的整体结构的框图。

图2是表示中心的简要结构的框图。

图3是中心的功能框图。

图4是表示OTA管理器的简要结构的框图。

图5是OTA管理器的功能框图。

图6A是表示电子控制单元的简要结构的一个例子的框图。

图6B是表示电子控制单元的简要结构的一个例子的框图。

图7是表示类别信息的一个例子的图。

图8是中心以及OTA管理器所进行的下载处理步骤的流程图例。

图9是OTA管理器以及目标电子控制单元所进行的安装处理步骤的流程图例。

图10是OTA管理器以及目标电子控制单元所进行的激活处理步骤的流程图例。

具体实施方式

在本公开的网络系统中，OTA管理器从中心先于面向搭载有单库存储器的电子控制单元(ECU：Electronic Control Unit)的更新数据的分发数据包的接收而接收面向搭载有双库存储器的电子控制单元的更新数据的分发数据包。由此，当在产生了分发数据包的通信异常时，仅重新发送该分发数据包(产生了通信异常的分发数据包)即可，能够抑制中心与OTA管理器之间的通信量(通信负荷)的增加。

以下，参照附图对本公开的一个实施方式详细地进行说明。

实施方式

结构

图1是表示本公开的一个实施方式所涉及的网络系统的整体结构的框图。图1所示的网络系统是用于对搭载于车辆的多个电子控制单元40a～40d的软件进行更新的系统。网络系统具备位于车辆之外的中心10、在车辆内构建的车载网络20、以及网络70。

(1)中心

中心10能够经由网络70与车载网络20所具备的OTA管理器30通信。关于OTA管理器30将后述。中心10对于OTA管理器30进行电子控制单元40a～40d的软件的更新数据的发送、从OTA管理器30进行表示软件更新处理的进展状况的通知的接收等。由此，中心10能够对与OTA管理器30连接的多个电子控制单元40a～40d的软件更新进行控制以及管理。该中心10具有作为所谓的服务器的功能。

图2是表示图1中的中心10的简要结构的框图。如图2所示，中心10具备CPU(Central Processing Unit)11、RAM(Random Access Memory)12、存储装置13以及通信装置14。存储装置13是具备硬盘驱动器(HDD)、固态驱动器(SSD)等可读写的存储介质的装置。通信装置14是“第1通信装置”的一个例子。存储装置13存储用于执行软件的更新管理的程序、在软件的更新控制以及软件更新管理中使用的信息、以及各电子控制单元的软件的更新数据等。在中心10中，CPU11通过使用RAM12作为工作区域执行从存储装置13读出的程序，来执行与软件更新相关的规定的处理。通信装置14是用于经由网络70与OTA管理器30进行通信的装置。

图3是图2所示的中心10的功能框图。图3所示的中心10具备存储部16、通信部17以及控制部18。存储部16由图2所示的存储装置13实现。通信部17以及控制部18通过图2所示的CPU11使用RAM12执行存储于存储装置13的程序来实现。

存储部16存储与搭载于车辆的1个以上的电子控制单元的软件更新处理相关的信息。作为与软件更新处理相关的信息，存储部16至少存储更新管理信息和电子控制单元40a～40d的软件的更新数据。更新管理信息是按识别车辆的每个车辆识别信息(车辆ID)将表示在电子控制单元40a～40d中能够利用的软件的信息建立了关联的信息。表示在电子控制单元40a～40d中能够利用的软件的信息例如包括多个电子控制单元40a～40d的各软件的最新的版本信息的组合。另外，作为与软件更新处理相关的信息，存储部16能够存储在车辆中正实施的软件的更新状态。并且，存储部16能够存储与分别搭载于多个电子控制单元40a～40d的非易失性存储器的类别相关的信息(后述)。

通信部17作为与OTA管理器30之间进行数据、信息以及请求等的发送以及接收的发送部以及接收部发挥功能。通信部17从OTA管理器30接收软件的更新确认请求(接收部)。更新确认请求例如是在车辆的电源或者点火装置接通(以下称为“电源接通”)时从OTA管理器30向中心10发送的信息。更新确认请求是用于基于后述的车辆构成信息来请求中心10确认是否存在电子控制单元40a～40d的更新数据的信息。另外，通信部17响应于从OTA管理器30接收到的更新确认请求来将表示更新数据的有无的信息发送至OTA管理器30(发送部)。另外，通信部17对来自OTA管理器30的分发数据包的发送请求(下载请求)进行接收(接收部)。另外，通信部17若接收到分发数据包的下载请求，则将由后述的控制部18生成的电子控制单元40a～40d的软件的更新数据的分发数据包发送至OTA管理器30。通信部17是“第1通信部”的一个例子。

若通信部17从OTA管理器30接收到更新确认请求，则控制部18基于存储于存储部16的更新管理信息来针对搭载于由更新确认请求所包括的车辆ID确定的车辆的电子控制单元40a～40d判定是否存在软件的更新数据。控制部18涉及的是否存在更新数据的判定结果由通信部17发送至OTA管理器30。若控制部18判定为存在电子控制单元40a～40d的软件的更新数据并从OTA管理器30接收到分发数据包的下载请求，则控制部18生成存储于存储部16的相应的更新数据的分发数据包。

该控制部18独立地生成仅面向搭载有单库存储器的电子控制单元的更新数据的分发数据包和仅面向搭载有双库存储器的电子控制单元的更新数据的分发数据包。关于单库存储器和双库存储器将后述。面向搭载有单库存储器的电子控制单元的更新数据的分发数据包是“第1分发数据包”的一个例子。仅面向搭载有双库存储器的电子控制单元的更新数据的分发数据包是“第2分发数据包”的一个例子。若后述的类别信息被预先储存于存储部16，则控制部18能够有意地独立生成类别不同的更新数据的分发数据包。中心10(的通信部17)通过基于类别来分开生成更新数据的分发数据包，能够将面向搭载有第2类别的非易失性存储器的电子控制单元的更新数据的分发数据包先于面向搭载有第1类别的非易失性存储器的电子控制单元的更新数据的分发数据包的发送而向OTA管理器30发送。

(2)车载网络

车载网络20具备OTA管理器30、多个电子控制单元40a～40d以及通信模块50。OTA管理器30与通信模块50经由总线60a连接。OTA管理器30与电子控制单元40a以及40b经由总线60b连接。OTA管理器30与电子控制单元40c以及40d经由总线60c连接。

OTA管理器30能够经由总线60a以及通信模块50并通过网络70与中心10实现无线通信。该OTA管理器30管理OTA状态。OTA管理器30具有控制软件更新处理的流程亦即更新时序来实施成为软件更新对象的电子控制单元(以下称为“目标电子控制单元”)的软件更新的功能。OTA管理器30基于从中心10取得的更新数据等来控制目标电子控制单元的软件更新。目标电子控制单元是电子控制单元40a～40d中的作为软件更新对象的电子控制单元。也可以是1个以上的目标电子控制单元作为OTA管理器30发挥功能。也存在OTA管理器30被称为中央网关(CGW)的情况。

图4是表示图1中的OTA管理器30的简要结构的框图。如图4所示，OTA管理器30具备微型计算机35和通信装置36。微型计算机35具备CPU31、RAM32、ROM33以及存储装置34。在OTA管理器30中，CPU31通过使用RAM32作为工作区域执行从ROM33读出的程序，来执行与软件更新相关的规定的处理。通信装置36经由图1所示的总线60a～60c与通信模块50以及电子控制单元40a～40d分别进行通信。通信装置36是“第2通信装置”的一个例子。

图5是图4所示的OTA管理器30的功能框图。图5所示的OTA管理器30具备存储部37、通信部38以及控制部39。存储部37由图4所示的存储装置34实现。通信部38以及控制部39通过图4所示的CPU31使用RAM32执行存储于ROM33的程序来实现。

存储部37存储用于执行多个电子控制单元40a～40d的软件更新的程序(OTA管理器30的控制用程序)、在执行软件更新时使用的各种数据、以及从中心10下载的软件的更新数据等。另外，存储部37能够存储与分别搭载于多个电子控制单元40a～40d的非易失性存储器的类别相关的信息(后述)。

通信部38作为与中心10之间进行数据、信息以及请求等的发送以及接收的发送部以及接收部发挥功能。通信部38例如以车辆的电源接通为契机来将软件的更新确认请求发送至中心10(发送部)。更新确认请求例如包括用于识别车辆的车辆ID和与车载网络20连接的电子控制单元40a～40d的软件的当前版本所涉及的信息。为了通过与中心10按每个车辆ID保持的软件的最新版本的比较来判定是否存在电子控制单元40a～40d的软件的更新数据而使用车辆ID以及电子控制单元40a～40d的软件的当前版本。另外，通信部38从中心10接收表示更新数据的有无的通知作为对于更新确认请求的响应(接收部)。在存在电子控制单元40a～40d的软件的更新数据的情况下，通信部38将软件的更新数据的分发数据包的下载请求发送至中心10(发送部)。通信部38接收(下载)从中心10发送的分发数据包(接收部)。另外，通信部38将从电子控制单元40a～40d接收到的软件的更新状态发送至中心10(发送部)。通信部38是“第2通信部”的一个例子。

控制部39基于从通信部38接收到的对于更新确认请求的来自中心10的响应来判定是否存在电子控制单元40a～40d的软件的更新数据。另外，控制部39对通信部38从中心10接收(下载)并储存于存储部37的分发数据包的真实性进行验证。另外，控制部39使用从中心10接收(下载)到的更新数据来控制电子控制单元40a～40d的软件更新处理(各种验证、安装、激活等)。具体而言，控制部39将通过分发数据包下载了的1个以上的更新数据转送至目标电子控制单元。然后，控制部39使目标电子控制单元安装基于更新数据的更新软件。在安装完成后，控制部39对于目标电子控制单元进行使安装了的更新软件激活(有效化)的指示。在该软件更新处理时，控制部39恰当地控制多个电子控制单元40a～40d中的各种验证、安装、激活等的步骤。

多个电子控制单元40a～40d控制车辆的各部的动作。在图1中，示出了车载网络20具备4个电子控制单元40a～40d的例子，但电子控制单元的数量并不特别限定。可以在OTA管理器30连接有用于在电子控制单元40a～40d的软件的更新处理时进行存在更新数据这一显示、用于向车辆的用户、管理者请求对于软件更新的同意的同意请求画面的显示、以及软件更新的结果的显示等各种显示的显示装置(HMI)。作为显示装置，能够使用汽车导航系统等。另外，将电子控制单元与OTA管理器30连接的总线的数量也不特别限定。例如，上述的显示装置可以通过总线60a～60c以外的总线与OTA管理器30连接。

电子控制单元40a～40d的简要结构的一个例子如图6A以及图6B所示。

图6A所示的电子控制单元40a具备CPU41、RAM42、非易失性存储器43a以及通信装置44。CPU41通过使用RAM42作为工作区域执行从非易失性存储器43a读出的程序，来实现电子控制单元40a的功能。非易失性存储器43a具有用于储存软件等数据的1个储存区域45(以下称为“单库存储器”)。以下，将该具有1个储存区域45的构成的非易失性存储器43a的存储器类别称为“第1类别”。储存区域45可以除了储存用于实现电子控制单元40a的功能的软件之外，还储存版本信息、参数数据、启动用的引导程序以及软件更新用的程序等。通信装置44进行与OTA管理器30、和车载网络20连接的其他电子控制单元40b～40d的通信。

图6B所示的电子控制单元40b与电子控制单元40a同样，具备CPU41、RAM42、非易失性存储器43b以及通信装置44。其中，搭载于电子控制单元40b的非易失性存储器43b具有用于储存软件等数据的2个储存区域46a以及46b(以下称为“双库存储器”)。以下，将具有2个储存区域46a以及46b的结构的非易失性存储器43b的类别称为“第2类别”。在储存区域46a以及46b可以除了储存用于实现电子控制单元40b的功能的软件之外，还储存版本信息、参数数据、启动用的引导程序、软件更新用的程序等。电子控制单元40b的CPU41将非易失性存储器43b所具有的2个储存区域46a以及46b中的任一方作为读出对象的储存区域(运用面)。电子控制单元40b的CPU41执行被储存于该读出对象的储存区域的软件。在不是读出对象的另一方的储存区域(非运用面)中，能够在执行读出对象的储存区域(运用面)的软件(程序)的过程中在后台实现基于更新数据的更新软件(更新版的程序)的安装(写入)。在软件更新处理中的激活(更新软件的有效化)时，通过由电子控制单元40b的CPU41切换程序的读出对象的储存区域，能够激活更新软件。

作为具体例，设想在作为双库存储器的非易失性存储器43b的储存区域46a储存有现行的软件、在储存区域46b安装有更新软件的情况。若OTA管理器30对电子控制单元40b指示了更新软件的激活，则例如电子控制单元40b通过将CPU41的读出开始地址从储存区域46a的前端地址切换为储存区域46b的前端地址，能够切换该CPU41的读出对象(运用面)的储存区域。由此，电子控制单元40b能够执行安装于储存区域46b的更新软件。其中，在本公开中，将1个储存区域虚拟地划分为2面、在执行储存于一方的面的程序的过程中能够在另一方的面实现程序的写入的被称为“单面挂起存储器”的结构也被分类为第2类别的存储器。

图7中示出了与分别搭载于多个电子控制单元40a～40d的非易失性存储器的类别相关的信息亦即类别信息的一个例子。在图7所例示的类别信息中，用于识别电子控制单元的编号亦即ECU ID与搭载于该电子控制单元的非易失性存储器的类别(第1类别(单库)/第2类别(双库))建立了关联。该类别信息被存储于OTA管理器30的存储部37以及中心10的存储部16的至少一方而被管理。可以基于构成车载网络20的电子控制单元40a～40d的规格来预先创建类别信息，并在车辆的制造时等储存于OTA管理器30的存储部37。可以由OTA管理器30在软件的更新处理时通过车载网络20内的通信从目标电子控制单元取得类别信息。另外，在类别信息由中心10管理的情况下，OTA管理器30可以经由网络70从中心10取得类别信息。

通信模块50是具有对中心10与车辆的通信进行控制的功能的单元。通信模块50将车载网络20与中心10连接。通信模块50经由网络70与中心10无线连接。经由通信模块50来进行OTA管理器30涉及的车辆的认证、更新数据的下载等。该通信模块50可以构成为包含于OTA管理器30。

软件更新处理的概要

OTA管理器30例如以车辆的电源接通为契机来将软件的更新确认请求发送至中心10。更新确认请求包括用于识别车辆的车辆ID和车辆构成信息。车辆构成信息是与车载网络20连接的电子控制单元40a～40d的硬件以及软件的当前版本等与电子控制单元的状态(系统构成)相关的信息。能够通过从与车载网络20连接的电子控制单元40a～40d取得电子控制单元的识别编号(ECU ID)和电子控制单元的软件版本的识别编号(ECU Software ID)来制作车辆构成信息。中心10通过车辆ID以及电子控制单元40a～40d的软件的当前版本与中心10按每个车辆ID保持的软件的最新版本的比较来对是否存在电子控制单元40a～40d的软件的更新数据进行判定。中心10将表示更新数据的有无的通知作为对于从OTA管理器30接收到的更新确认请求的响应发送至OTA管理器30。在存在电子控制单元40a～40d的软件的更新数据的情况下，OTA管理器30将分发数据包的下载请求发送至中心10。中心10根据从OTA管理器30接收到的下载请求来将更新数据的分发数据包发送至OTA管理器30。分发数据包可以除了包括更新数据的之外、还包括用于验证更新数据的真实性的验证用数据、更新数据的数量、类别信息、在软件更新时使用的各种控制信息等。

OTA管理器30基于从中心10接收到的对于更新确认请求的响应来对是否存在电子控制单元40a～40d的软件的更新数据进行判定。另外，OTA管理器30对从中心10接收并储存于存储装置13的分发数据包的真实性进行验证。另外，OTA管理器30将通过分发数据包下载了的1个以上的更新数据转送至目标电子控制单元，使目标电子控制单元安装更新数据。在安装完成后，OTA管理器30指示目标电子控制单元将所安装的更新版的软件激活。

另外，OTA管理器30在同意请求处理中使输出装置输出对于软件更新需要同意这一内容的通知、催促同意了软件更新这一内容的输入的通知。作为输出装置，能够利用设置于车载网络20的基于显示进行通知的显示装置(未图示)、基于声音进行通知的声音输出装置(未图示)。例如，在同意请求处理中使用显示装置作为输出装置的情况下，OTA管理器30能够使显示装置显示用于向用户或者管理者请求软件更新的同意的同意请求画面、显示在用户或者管理者同意的情况下催促按下同意按钮等特定的输入操作的通知。另外，OTA管理器30能够使显示装置在同意请求处理中显示通知为存在电子控制单元40a～40d的软件的更新数据的语句、图标等、显示在软件更新处理的执行中受到的限制事项等。OTA管理器30若从用户或者管理者受理到同意这一内容的输入，则执行上述的安装以及激活的控制处理来更新目标电子控制单元的软件。

这里，在目标电子控制单元的非易失性存储器为单库存储器的情况下，原则上连续地进行安装与激活。因此，在安装执行前，进行对于软件更新的同意请求处理。此外，即便目标电子控制单元的非易失性存储器为单库存储器，目标电子控制单元也可能在安装完成的状态下暂时停止更新处理、即被请求为等待(暂缓)激活。另外，在目标电子控制单元的非易失性存储器为双库存储器的情况下，至少在安装的执行后且激活的执行前进行对于软件更新的同意请求处理。此外，在目标电子控制单元的非易失性存储器为双库存储器的情况下，安装执行前的对于软件的更新的同意请求处理可以进行，也可以省略。

软件更新处理由下载阶段、安装阶段以及激活阶段构成。在下载阶段中，OTA管理器30从中心10下载更新数据。在安装阶段中，OTA管理器30将下载了的更新数据(更新软件)转送至目标电子控制单元，并在目标电子控制单元的储存区域安装基于更新数据的更新软件。在激活阶段中，将目标电子控制单元所安装的更新软件有效化。

下载是OTA管理器30从中心10接收通过分发数据包发送的更新数据并将接收到的更新数据存储于存储部37的处理。更新数据是用于更新电子控制单元的软件的数据。在下载中，先于面向搭载有单库存储器的电子控制单元的更新数据的接收来进行面向更新失败的概率比较低的搭载有双库存储器的电子控制单元的更新数据的接收。在下载阶段中，不仅包括下载的执行，还包括下载的可否执行判断、更新数据的验证等与下载相关的一系列处理的控制。

从中心10发送至OTA管理器30的更新数据可以包括电子控制单元的更新软件(完整数据或者差分数据)、压缩更新软件而得的压缩数据、分割更新软件或者压缩数据而得的分割数据中的任一个。另外，更新数据可以包括目标电子控制单元的ECU ID(或者序列号)和更新前的目标电子控制单元的ECU Software ID。更新数据被作为上述的分发数据包而下载。分发数据包中包括单个电子控制单元或者多个电子控制单元的更新数据。

安装是OTA管理器30基于从中心10下载了的更新数据来向多个目标电子控制单元的非易失性存储器43a以及/或者43b按照所决定的顺序写入更新软件(更新版的程序)的处理。优先于面向搭载有单库存储器的电子控制单元的更新数据的安装来进行面向搭载有双库存储器的电子控制单元的更新数据的安装。在安装阶段中，不仅包括安装的执行，还包括安装的可否执行判断、更新数据的转送以及更新软件的验证等与安装相关的一系列处理的控制。

在更新数据包括更新软件本身(完整数据)的情况下，在安装阶段中，OTA管理器30将更新数据(更新软件)转送至目标电子控制单元。另外，在更新数据包括更新软件的压缩数据、或者差分数据、或分割数据的情况下，可以是OTA管理器30向目标电子控制单元转送更新数据，目标电子控制单元根据更新数据生成更新软件。或者，也可以是在OTA管理器30根据更新数据生成更新软件之后将更新软件转送至目标电子控制单元。这里，更新软件的生成能够通过压缩数据的解压、差分数据或者分割数据的组合(整合)来进行。更新数据、更新软件是“基于更新数据的信息”的一个例子。

更新软件的安装能够由目标电子控制单元基于来自OTA管理器30的安装请求来进行。此外，接收到更新数据的特定的目标电子控制单元可以自主地进行安装而不接受来自OTA管理器30的明确的指示。

激活是目标电子控制单元将安装于非易失性存储器43a以及/或者43b的更新软件激活的处理。对于面向搭载有双库存储器的电子控制单元的更新数据的激活以及面向搭载有单库存储器的电子控制单元的更新数据的激活而言，可以优先任一方来进行。或者，也可以相互无优劣地进行面向搭载有双库存储器的电子控制单元的更新数据的激活以及面向搭载有单库存储器的电子控制单元的更新数据的激活。在激活阶段中，不仅包括激活的执行，还包括激活的可否执行判断、向车辆的用户或者管理者的对于激活的同意请求、执行结果的验证等与激活相关的一系列控制。

更新软件的激活能够由目标电子控制单元基于来自OTA管理器30的激活请求来进行。此外，接收到更新数据的特定的目标电子控制单元可以在安装完成后自主地进行激活而不接受来自OTA管理器30的明确的指示。

此外，软件更新处理能够对于多个目标电子控制单元分别连续或并列地进行。

另外，“软件更新处理”不仅包括连续地进行下载、安装以及激活的全部的处理，还包括仅进行下载、安装以及激活中的一部分的处理。

处理

接下来，还参照图8、图9以及图10来对几个在本实施方式所涉及的网络系统中执行的与软件更新处理相关的具体例进行说明。

(1)下载的具体例

图8是对中心10以及OTA管理器30进行的下载的具体例涉及的处理步骤进行说明的流程图。因中心10从OTA管理器30接收到分发数据包的下载请求而开始图8所例示的下载处理。

步骤S801

以下，将成为软件的更新对象的目标电子控制单元称为“目标ECU”。中心10生成面向目标ECU中的搭载有第1类别的非易失性存储器的目标ECU(以下，称为“第1类别的目标ECU”)的更新数据的分发数据包。另外，中心10生成面向目标ECU中的搭载有第2类别的非易失性存储器的目标ECU(以下，称为“第2类别的目标ECU”)的更新数据的分发数据包。此时，中心10能够参照存储部16所存储的类别信息来对目标ECU所搭载的非易失性存储器的存储器类别进行判断。在中心10管理分别搭载于多个电子控制单元40a～40d的非易失性存储器的类别的情况下，与存储器类别相关的信息可以包括在分发数据包中。若分别生成了面向搭载有第1类别的非易失性存储器的目标ECU的更新数据的分发数据包以及面向搭载有第2类别的非易失性存储器的目标ECU的更新数据的分发数据包，则处理进入至步骤S802。

步骤S802

中心10将面向第2类别的目标ECU的更新数据的分发数据包发送至OTA管理器30。若发送了分发数据包，则处理进入至步骤S803。

步骤S803

OTA管理器30对从中心10发送的面向第2类别的目标ECU的更新数据的分发数据包进行接收。若该分发数据包的接收完成，则处理进入至步骤S804。

步骤S804

中心10将面向第1类别的目标ECU的更新数据的分发数据包发送至OTA管理器30。若发送了分发数据包，则处理进入至步骤S805。

步骤S805

OTA管理器30对从中心10发送的面向第1类别的目标ECU的更新数据的分发数据包进行接收。若该分发数据包的接收完成，则处理进入至步骤S806。

步骤S806

OTA管理器30将从中心10通过分发数据包分别接收到的更新数据(以及与存储器类别相关的信息等)存储于存储部37。由此，下载处理结束。

根据该下载的具体例，OTA管理器30能够先于面向第1类别的目标ECU的更新数据的分发数据包来接收面向第2类别的目标ECU的更新数据的分发数据包。

(2)安装的具体例

图9是对OTA管理器30以及目标ECU进行的具体例涉及的安装的处理步骤进行说明的流程图。在至少1个第2类别的目标ECU的更新数据的下载完成之后且因满足规定的条件(安装可执行、更新数据的验证通过等)而开始图9所例示的安装的具体例。

步骤S901

OTA管理器30取得搭载于目标ECU的非易失性存储器的类别(第1类别/第2类别)。在OTA管理器30管理该存储器类别的情况下，OTA管理器30能够通过参照存储于存储部37的类别信息(图7)来取得目标ECU的存储器类别。在中心10管理存储器类别的情况下，OTA管理器30能够通过参照分发数据包所包括的存储器类别的信息来取得目标ECU的存储器类别。若取得了目标ECU的存储器类别，则处理进入至步骤S902。

步骤S902

OTA管理器30以及第2类别的目标ECU基于更新数据来开始向第2类别的目标ECU的非易失性存储器的储存区域写入更新软件的处理亦即安装。针对第2类别的目标ECU的全部同时或者按照规定的顺序进行该安装的开始。若开始对于第2类别的目标ECU的安装，则处理进入至步骤S903。

步骤S903

OTA管理器30以及第1类别的目标ECU基于更新数据来开始向第1类别的目标ECU的非易失性存储器的储存区域写入更新软件的处理亦即安装。针对第1类别的目标ECU的全部同时或者按照规定的顺序进行该安装的开始。其中，该第1类别的目标ECU的安装可以在第2类别的目标ECU的安装全部完成之后开始，也可以在第2类别的目标ECU的预先决定的一部分的安装完成之后开始。若开始对于第1类别的目标ECU的安装，则处理进入至步骤S904。

步骤S904

OTA管理器30对全部(第1类别以及第2类别)的目标ECU中的更新软件的安装是否完成进行判断。在OTA管理器30接收到来自各目标ECU的完成通知的情况下，OTA管理器30可以判断为全部的目标ECU的更新软件的安装完成。另外，在从安装的开始起经过了规定的时间后的情况下，OTA管理器30可以判断为全部的目标ECU的更新软件的安装完成。规定的时间例如能够设定为全部的目标ECU的安装所需的最大的时间以上。若OTA管理器30判断为全部的目标ECU中的更新软件的安装完成(步骤S904，是)，则对于目标ECU的安装完成，本安装处理结束。

根据上述安装的具体例，能够使对于在更新中不需要停止控制的第2类别的目标ECU的安装优先于对于在更新中需要停止控制的第1类别的目标ECU的安装而开始。通过该处理，能够减少车辆(车载网络20)内的通信负荷。另外，通过该处理，能够缩短必须使车辆的控制停止至更新软件向全部目标ECU的写入完成为止的时间。

(3)激活的具体例

图10是对OTA管理器30以及目标ECU进行的激活的具体例涉及的处理步骤进行说明的流程图。在第1类别的目标ECU以及第2类别的目标ECU各自的更新软件的安装完成之后且因满足规定的条件(激活可执行、更新数据的验证通过等)而开始图10所例示的激活处理。

步骤S1001

第1类别的目标ECU开始被写入至第1类别的目标ECU的非易失性存储器的储存区域的更新软件的激活。针对第1类别的目标ECU的全部同时或者按照规定的顺序进行该激活的开始。若开始第1类别的目标ECU中的更新软件的激活，则处理进入至步骤S1002。

步骤S1002

第2类别的目标ECU开始被写入至第2类别的目标ECU的非易失性存储器的储存区域的更新软件的激活。针对第2类别的目标ECU的全部同时或者按照规定的顺序进行该激活的开始。此外，第2类别的目标ECU的激活可以在第1类别的目标ECU的激活全部完成之后开始。第2类别的目标ECU的激活也可以在第1类别的目标ECU的预先决定的一部分的激活完成之后开始。若开始第2类别的目标ECU中的更新软件的激活，则处理进入至步骤S1003。

步骤S1003

OTA管理器30对全部(第1类别以及第2类别)的目标ECU中的更新软件的激活是否完成进行判断。在OTA管理器30接收到来自各目标ECU的完成通知的情况下，OTA管理器30可以判断为全部的目标ECU的激活完成。另外，在从激活的开始起经过了规定的时间后的情况下，OTA管理器30也可以判断为全部的目标ECU的激活完成。规定的时间例如能够设定为全部的目标ECU的激活所需的最大的时间以上。若OTA管理器30判断为全部的目标ECU中的更新软件的激活完成(步骤S1003，是)，则对于目标ECU的激活完成，本激活处理结束。若OTA管理器30判断为一部分目标ECU中的更新软件的激活未完成(步骤S1003，否)，则反复进行步骤S1003。

根据上述激活的具体例，首先开始对于第1类别的目标ECU的更新软件的激活，接着开始对于第2类别的目标ECU的更新软件的激活。通过该处理，能够在确认了第1类别的目标ECU的软件更新的成功之后实施第2类别的目标ECU的软件更新。因此，能够恰当地执行构成中包括搭载有单库存储器的目标ECU和搭载有双库存储器的目标ECU双方的系统的软件更新处理。

作用/效果

如以上那样，根据本公开的一个实施方式所涉及的网络系统，中心生成面向搭载有单库存储器(第1类别的非易失性存储器)的电子控制单元的更新数据和面向搭载有双库存储器(第2类别的非易失性存储器)的电子控制单元的更新数据作为独立的分发数据包。而且，中心将面向搭载有双库存储器的电子控制单元的更新数据的分发数据包先于面向搭载有单库存储器的电子控制单元的更新数据的分发数据包发送至OTA管理器。

通过该处理，在分发数据包的通信异常时，只要仅重新发送该分发数据包(通信产生了异常的分发数据包)即可。因此，能够抑制中心与OTA管理器之间的通信量(通信负荷)的增加。另外，中心能够在确认了软件的匹配性之后使更新数据分发数据包化来发送。因此，能够避免在更新数据的下载后在OTA管理器中明确了更新数据无匹配性而将重新发送请求发送至中心之类的情况。

另外，OTA管理器能够先于面向搭载有单库存储器的电子控制单元的更新数据的分发数据包而接收面向搭载有双库存储器的电子控制单元的更新数据的分发数据包。因此，OTA管理器能够优先于对于在更新中需要停止控制的搭载单库存储器的目标电子控制单元的安装而进行在更新中不需要停止控制的搭载双库存储器的目标电子控制单元的安装。

由此，OTA管理器能够从搭载双库存储器的目标电子控制单元先行向储存区域写入更新软件，并在更新软件向搭载双库存储器的目标电子控制单元的储存区域的写入完成那样的时机开始更新软件向搭载单库存储器的目标电子控制单元的储存区域的写入。由此，能够减少车辆(车载网络)内的通信负荷。因此，能够缩短必须使车辆的控制停止至更新软件向全部的目标ECU的写入完成为止的时间。

以上，对本公开技术的一个实施方式进行了说明，但本公开不仅能够理解为OTA管理器，还能够理解为具备处理器和存储器的OTA管理器所执行的方法、程序、存储有程序的计算机可读取的非暂时性存储介质、能够与OTA管理器通信的中心、具备中心和OTA管理器的系统、或具备OTA管理器的车辆等。另外，中心可以具备1个以上的处理器。OTA管理器可以具备1个以上的处理器。

本公开技术能够在用于更新电子控制单元的软件的网络系统中利用。

Claims (15)

1.一种OTA管理器，构成为对搭载于车辆的电子控制单元的软件更新进行控制，

所述OTA管理器的特征在于，

包括构成为从中心先于第1分发数据包来接收第2分发数据包的通信部，所述第2分发数据包是面向搭载有第2类别的非易失性存储器的所述电子控制单元的更新数据的分发数据包，所述第2类别的非易失性存储器具有2个储存区域，所述第1分发数据包是面向搭载有第1类别的非易失性存储器的所述电子控制单元的更新数据的分发数据包，所述第1类别的非易失性存储器具有1个储存区域。

2.根据权利要求1所述的OTA管理器，其特征在于，

还包括控制部，该控制部构成为基于类别信息来将基于所述通信部接收到的所述更新数据的信息发送至成为更新对象的所述电子控制单元，所述类别信息表示所述电子控制单元所搭载的非易失性存储器是所述第1类别还是所述第2类别。

3.根据权利要求2所述的OTA管理器，其特征在于，

所述通信部构成为从所述中心取得所述类别信息。

4.根据权利要求2或3所述的OTA管理器，其特征在于，

还包括构成为存储所述类别信息的存储部。

5.根据权利要求2～4中任一项所述的OTA管理器，其特征在于，

所述控制部构成为基于所述类别信息来使基于搭载有所述第2类别的非易失性存储器的所述电子控制单元的更新数据的信息优先于基于搭载有所述第1类别的非易失性存储器的所述电子控制单元的更新数据的信息而发送至成为更新对象的所述电子控制单元。

6.一种中心，构成为与OTA管理器进行通信，该OTA管理器构成为对搭载于车辆的电子控制单元的软件更新进行控制，

所述中心的特征在于，

包括构成为存储类别信息的存储部，该类别信息表示所述电子控制单元所搭载的非易失性存储器是第1类别的非易失性存储器还是第2类别的非易失性存储器，所述第1类别的非易失性存储器具有1个储存区域，第2类别的非易失性存储器具有2个储存区域。

7.根据权利要求6所述的中心，其特征在于，

还包括第1通信部，该第1通信部构成为基于所述类别信息来将第1分发数据包和第2分发数据包发送至所述OTA管理器，所述第1分发数据包是面向搭载有所述第1类别的非易失性存储器的所述电子控制单元的更新数据的分发数据包，所述第2分发数据包是面向搭载有所述第2类别的非易失性存储器的所述电子控制单元的更新数据的分发数据包。

8.根据权利要求7所述的中心，其特征在于，

所述第1通信部构成为基于所述类别信息将所述第2分发数据包先于所述第1分发数据包发送至所述OTA管理器。

9.根据权利要求7或8所述的中心，其特征在于，

所述第1通信部构成为将所述存储部所存储的所述类别信息发送至所述OTA管理器。

10.一种系统，具备权利要求6～9中任一项所述的中心和所述OTA管理器，

所述系统的特征在于，

所述中心具备构成为将第1分发数据包和第2分发数据包发送至所述OTA管理器的第1通信部，所述第1分发数据包是面向搭载有所述第1类别的非易失性存储器的所述电子控制单元的更新数据的分发数据包，所述第2分发数据包是面向搭载有所述第2类别的非易失性存储器的所述电子控制单元的更新数据的分发数据包；

所述OTA管理器具备第2通信部，该第2通信部构成为从所述中心先于所述第1分发数据包来接收所述第2分发数据包。

11.根据权利要求10所述的系统，其特征在于，

所述OTA管理器具备控制部，该控制部构成为基于所述类别信息来使基于搭载有所述第2类别的非易失性存储器的所述电子控制单元的更新数据的信息优先于基于搭载有所述第1类别的非易失性存储器的所述电子控制单元的更新数据的信息而发送至成为更新对象的所述电子控制单元。

12.根据权利要求11所述的系统，其特征在于，

所述中心具备构成为存储所述类别信息的所述存储部，

所述中心的所述第1通信部构成为将所述类别信息发送至所述OTA管理器。

13.一种方法，由对搭载于车辆的电子控制单元的软件更新进行控制的OTA管理器执行，所述OTA管理器具备存储器和1个以上的处理器，

所述方法的特征在于，包括：

从中心先于第1分发数据包来接收第2分发数据包，所述第2分发数据包是面向搭载有第2类别的非易失性存储器的所述电子控制单元的更新数据的分发数据包，所述第2类别的非易失性存储器具有2个储存区域，所述第1分发数据包是面向搭载有第1类别的非易失性存储器的所述电子控制单元的更新数据的分发数据包，所述第1类别的非易失性存储器具有1个储存区域。

14.一种非暂时性存储介质，储存有能够由对搭载于车辆的电子控制单元的软件更新进行控制的OTA管理器的计算机执行且使所述计算机执行以下的功能的命令，所述OTA管理器具备存储器和1个以上的处理器，

所述非暂时性存储介质的特征在于，所述功能包括：

从中心先于第1分发数据包来接收第2分发数据包，所述第2分发数据包是面向搭载有第2类别的非易失性存储器的所述电子控制单元的更新数据的分发数据包，所述第2类别的非易失性存储器具有2个储存区域，所述第1分发数据包是面向搭载有第1类别的非易失性存储器的所述电子控制单元的更新数据的分发数据包，所述第1类别的非易失性存储器具有1个储存区域。

15.一种车辆，其特征在于，

搭载有权利要求1～5中任一项所述的OTA管理器。

Images