CN115696311A - 系统、中心、方法、以及非暂时性存储介质 - Google Patents

Abstract

本发明涉及系统、中心、方法、以及非暂时性存储介质，该系统具备：车辆，搭载了电子控制单元；中心，构成为对上述电子控制单元的软件的更新进行控制；以及信息终端，与上述车辆建立了关联。上述车辆具备：显示装置；和第1通信部，构成为与上述中心之间进行通信。上述中心具备：第2通信部；构成为与上述车辆以及上述信息终端之间进行通信；和处理部。上述处理部构成为将与上述软件的更新相关的信息发送至上述信息终端，向上述车辆发送表示已将与上述软件的更新相关的信息发送至上述信息终端这一内容的通知，使上述车辆的上述显示装置显示从上述中心接收到的上述通知。

Description

系统、中心、方法、以及非暂时性存储介质

技术领域

本公开涉及对被搭载于车辆的电子控制单元的软件的更新进行控制的系统、中心、方法以及非暂时性存储介质。

背景技术

在车辆搭载有用于控制车辆的动作的多个电子控制单元(ECU：ElectronicControl Unit)。电子控制单元具备处理器、RAM那样的暂时性存储部、闪速ROM那样的非易失性的存储部亦即非易失性存储器。通过处理器执行存储于非易失性存储器的软件来实现电子控制单元的控制功能。各电子控制单元所存储的软件可改写。通过软件更新为更新的版本的软件，能够改善各电子控制单元的功能、追加新的车辆控制功能。

作为更新电子控制单元的软件的技术，公知有OTA(Over The Air：空中下载)技术。在OTA技术中，担负车辆的软件的更新处理的装置将和车载网络连接了的车载通信设备与因特网等通信网络无线连接。担负软件的更新处理的装置经由无线通信从服务器下载软件，将下载了的软件写入至电子控制单元来进行安装，通过进行将安装了的软件有效化的激活，来进行电子控制单元的软件的更新、追加。例如，参照日本特开2017－149323。

在使用了OTA技术的软件更新时，对于车辆的用户、管理者等进行存在软件更新这一情况的通知、请求软件更新的同意的处理等。通过被搭载于车辆的车辆导航装置、可与车辆无线通信的智能手机等信息终端来对于车辆的用户、管理者等进行这些通知、同意请求等。

智能手机等信息终端能够大量地接收各种电子邮件。一般，信息终端的拥有者从大量的电子邮件之中仅选择需要的邮件或具有可靠性的邮件来确认内容。然而，信息终端的拥有者仅基于邮件的标题、发送者的地址等来判断该电子邮件是否是真需要的邮件以及是否是具有可靠性的邮件是繁琐的工作。因此，有可能用户、管理者等没注意到在使用了OTA的软件更新时通过电子邮件等发送至车辆的用户、管理者等所拥有的信息终端的信息、或者无法将在使用了OTA的软件更新时通过电子邮件等发送至车辆的用户、管理者等所拥有的信息终端的信息理解为需要且具有可靠性的信息。

发明内容

本公开提供能够使用户、管理者等注意到在使用了OTA的软件更新时通过电子邮件等发送至车辆的用户、管理者等所拥有的信息终端的信息是具有可靠性的信息的系统、中心、方法、以及非暂时性存储介质。

本公开技术的第一方式是一种系统，具备：车辆，搭载了电子控制单元；中心，构成为对上述电子控制单元的软件的更新进行控制；以及信息终端，与上述车辆建立了关联。上述车辆具备显示装置和构成为与上述中心之间进行通信的第1通信部。上述中心具备构成为与上述车辆以及上述信息终端之间进行通信的第2通信部和处理部。上述处理部构成为将与上述软件的更新相关的信息发送至上述信息终端。上述处理部构成为在上述处理部已将与上述软件的更新相关的信息发送至上述信息终端的情况下，向上述车辆发送表示已将与上述软件的更新相关的信息发送至上述信息终端这一内容的通知。上述处理部构成为使上述车辆的上述显示装置显示从上述中心接收到的上述通知。

在本公开技术的第一方式所涉及的系统中，上述中心的上述处理部可以构成为在被搭载于上述车辆的上述显示装置无法显示与上述软件的更新相关的信息的情况下，将与上述软件的更新相关的信息发送至上述信息终端。

在本公开技术的第一方式所涉及的系统中，上述车辆可以还具备开关，该开关用于向上述中心指示与上述软件的更新相关的信息向上述信息终端的再发送。

在本公开技术的第一方式所涉及的系统中，上述中心可以还具备控制部，该控制部构成为基于作为对于与上述软件的更新相关的信息的响应而从上述信息终端接收的更新同意通知来控制上述软件的更新。

在本公开技术的第一方式所涉及的系统中，上述车辆可以还具备发送部，该发送部构成为将与上述显示装置相关的信息发送至上述中心。上述中心可以还具备取得部，该取得部构成为从上述车辆取得与上述显示装置相关的信息。

本公开技术的第二方式是一种中心，构成为对被搭载于车辆的电子控制单元的软件的更新进行控制，具备：通信部，构成为与上述车辆和与上述车辆建立了关联的信息终端进行通信；和处理部。上述处理部构成为将与上述软件的更新相关的信息发送至上述信息终端。上述处理部构成为在上述处理部已将与上述软件的更新相关的信息发送至上述信息终端的情况下，向上述车辆发送表示上述软件的更新涉及信息已被发送给上述信息终端这一内容的通知。

本公开技术的第二方式所涉及的中心可以具备取得部，该取得部构成为从上述车辆取得与被搭载于上述车辆的显示装置相关的信息。上述处理部可以构成为在上述显示装置无法显示与上述软件的更新相关的信息的情况下，将与上述软件的更新相关的信息发送至上述信息终端。

在本公开技术的第二方式所涉及的中心中，上述处理部可以构成为在上述通信部从上述车辆接收到再发送请求的情况下，将与上述软件的更新相关的信息再发送至上述信息终端。

本公开技术的第二方式所涉及的中心可以还具备控制部，该控制部构成为基于作为对于与上述软件的更新相关的信息的响应而由上述通信部从上述信息终端接收的更新同意通知来控制上述软件的更新。

本公开技术的第三方式是一种方法，由构成为对被搭载于车辆的电子控制单元的软件的更新进行控制的中心执行。上述中心具备存储器和1个以上的处理器。上述方法具备：将与上述软件的更新相关的信息发送至与上述车辆建立了关联的信息终端；和在上述中心已将与上述软件的更新相关的信息发送至上述信息终端的情况下，向上述车辆发送表示已将与上述软件的更新相关的信息发送至上述信息终端这一内容的通知。

本公开技术的第四方式是一种非暂时性存储介质，该非暂时性存储介质储存有能够由中心的1个或者多个计算机执行且使上述1个或者多个计算机执行以下的功能的命令。上述中心具备存储器和1个以上的处理器。上述中心构成为对被搭载于车辆的电子控制单元的软件的更新进行控制。上述功能具备：将与上述软件的更新相关的信息发送至与上述车辆建立了关联的信息终端；和在与上述软件的更新相关的信息已被发送给上述信息终端的情况下，向上述车辆发送表示上述软件的更新涉及信息已被发送给上述信息终端这一内容的通知。

根据本公开的系统等，能够使用户、管理者等注意到在使用了OTA的软件更新时通过电子邮件等发送至车辆的用户、管理者等所拥有的信息终端的信息是具有可靠性的信息。

附图说明

以下，参照附图对本发明的示例性实施例的特征、优点、技术及工业重要性进行说明，在附图中相同的附图标记表示相同的构成要素，其中：

图1是表示实施方式所涉及的网络系统的整体结构的框图。

图2是表示中心的简要结构的框图。

图3是中心的功能框图。

图4是表示OTA管理器的简要结构的框图。

图5是OTA管理器的功能框图。

图6A是中心所进行的与软件更新相关的信息的发送处理的流程图。

图6B是中心所进行的与软件更新相关的信息的发送处理的流程图。

图7是对中心、OTA管理器以及目标电子控制单元所执行的软件更新控制处理的一个例子进行说明的流程图。

具体实施方式

当进行被搭载于车辆的电子控制单元的软件更新时，在被搭载于车辆的显示装置无法充分显示与软件的更新相关的信息的情况下，本公开涉及的系统通过电子邮件等将与软件的更新相关的信息发送至与车辆建立了关联的信息终端，并且将已向信息终端发送了与软件的更新相关的信息这一内容的通知发送至车辆。车辆使显示装置显示被发送了从中心接收到的与软件的更新相关的信息这一内容的通知。由此，通过车辆的用户、管理者等观察显示于显示装置的内容，能够使车辆的用户、管理者等注意到被发送至自己的信息终端的电子邮件等是具有可靠性的信息。

以下，参照附图对本公开的一个实施方式详细地进行说明。

实施方式

系统结构

图1是表示本公开的一个实施方式所涉及的网络系统的整体结构的框图。图1所示的网络系统是用于对被搭载于车辆的多个电子控制单元(ECU)50a～50d的至少1个电子控制单元的软件进行更新的系统。网络系统具备位于车辆外的中心10、在车辆内构建的车载网络90、与车辆建立了关联的信息终端95、以及网络100。

(1)中心

中心10能够经由网络100与车载网络90所具备的后述的OTA管理器30通信。中心10进行对于车辆的用户、管理者等的存在软件更新这一情况的通知、与软件更新有关的说明等的发送、电子控制单元50a～50d的软件的更新数据以及定义了软件更新处理的步骤的信息的发送、表示软件更新处理的进展状况的通知的接收等。中心10能够对与OTA管理器30连接的多个电子控制单元50a～50d的软件更新进行控制以及管理。该中心10具有作为所谓的服务器的功能。另外，中心10能够经由网络100与信息终端95通信。中心10能够对于车辆的用户、管理者等进行存在电子控制单元50a～50d的软件更新这一情况的通知、与软件更新有关的说明等的发送。

图2是表示图1中的中心10的简要结构的框图。如图2所示，中心10具备CPU(Central Processing Unit)11、RAM(Random Access Memory)12、存储装置13以及通信装置14。存储装置13具备硬盘驱动器(HDD)、固态驱动器(SSD)等可读写的存储介质。存储装置13对用于执行软件的更新管理的程序、在软件的更新控制以及更新管理中使用的信息、以及各电子控制单元的软件的更新数据等进行存储。在中心10中，CPU11通过使用RAM12作为工作区域执行从存储装置13读出的程序，来执行与软件更新相关的规定的处理。通信装置14经由网络100与OTA管理器30、信息终端95进行通信。

图3是图2所示的中心10的功能框图。图3所示的中心10具备存储部16、通信部17、控制部18、取得部19以及处理部20。存储部16由图2所示的存储装置13来实现。通信部17、控制部18、取得部19以及处理部20通过图2所示的CPU11使用RAM12执行存储于存储装置13的程序来实现。

存储部16存储与被搭载于车辆的1个以上的电子控制单元的软件更新处理相关的信息。作为与软件更新处理相关的信息，存储部16至少存储更新管理信息和电子控制单元50a～50d的软件的更新数据。更新管理信息是按识别车辆的每个车辆识别信息(车辆ID)将表示在电子控制单元50a～50d能够利用的软件的信息建立了关联的信息。作为表示在电子控制单元50a～50d能够利用的软件的信息，例如可定义多个电子控制单元50a～50d的各软件的最新的版本信息的组合。作为与软件更新处理相关的信息，存储部16能够存储正在车辆实施的软件的更新状态。另外，作为与软件更新处理相关的信息，存储部16能够存储用于对于OTA管理器30进行控制的指示的、与表示了软件更新处理的步骤的更新时序相关的信息。另外，存储部16能够存储后述的取得部19所取得的与被搭载于车辆的显示装置70相关的信息。

通信部17作为与OTA管理器30(车辆)之间、与信息终端95之间进行数据、信息、通知以及请求等的发送及接收的发送部以及接收部发挥功能。通信部17从OTA管理器30接收软件的更新确认请求(接收部)。更新确认请求例如是在车辆中电源或者点火装置被接通(以下称为“电源接通”)时从OTA管理器30向中心10发送的信息。更新确认请求是用于基于后述的车辆构成信息来请求中心10确认是否存在电子控制单元50a～50d的更新数据的信息。另外，通信部17响应于从OTA管理器30接收到的更新确认请求来将表示更新数据的有无的信息发送至OTA管理器30(发送部)。另外，通信部17对来自OTA管理器30的分发数据包的发送请求(下载请求)进行接收(接收部)。另外，通信部17若接收到分发数据包的下载请求(接收部)，则将分发数据包发送至OTA管理器30(发送部)。分发数据包包括由后述的控制部18生成的电子控制单元50a～50d的软件的更新数据等。另外，通信部17基于处理部20的指示来对于车辆、信息终端95发送面向车辆的用户、管理者等的存在软件更新这一情况的通知、与软件更新有关的说明、软件更新的同意请求等(以下，将这些统称为“与软件的更新相关的信息”)(发送部)。另外，通信部17能够从车辆接收与被搭载于车辆的显示装置70相关的信息、与软件的更新相关的信息的再发送的请求(接收部)。通信部17是“第2通信部”的一个例子。

若通信部17从OTA管理器30接收到更新确认请求，则控制部18基于存储于存储部16的更新管理信息来针对被搭载于由更新确认请求所包括的车辆ID确定的车辆的电子控制单元50a～50d判定是否存在软件的更新数据。控制部18涉及的是否存在更新数据的判定结果通过通信部17被发送至OTA管理器30。在控制部18判定为存在电子控制单元50a～50d的软件的更新数据的情况下，若从OTA管理器30接收到分发数据包的下载请求，则控制部18生成包括存储于存储部16的相应的更新数据等的1个或者多个分发数据包。另外，控制部18基于作为处理部20发送出的与软件的更新相关的信息的响应而从信息终端95接收的来自车辆的用户、管理者等的更新同意通知来对电子控制单元50a～50d的软件的更新处理进行控制。

取得部19经由通信部17从车辆取得与被搭载于车辆的显示装置70相关的信息。与显示装置70相关的信息至少包括表示在使用了OTA的软件更新时是否能够利用显示装置70的画面显示应该事先对于车辆的用户、管理者等进行说明的信息(控制的变更内容等)的信息。能够利用画面进行显示典型的是指能够通过画面显示来将应该事先进行说明的信息全部提示给车辆的用户、管理者等。例如中心10可以每当车辆被接通电源时从车辆取得与该显示装置70相关的信息，也可以通过除此以外的方法来预先取得与显示装置70相关的信息。

在实施使用了OTA的软件更新时，处理部20基于搭载于车辆的显示装置70来进行发送与软件的更新相关的信息的处理。更具体而言，若显示装置70能够在使用了OTA的软件更新时进行应该事先向车辆的用户、管理者等说明的信息的画面显示，则处理部20将与软件的更新相关的信息发送至车辆(OTA管理器30)。与此相对，若显示装置70不能在使用了OTA的软件更新时进行应该事先向车辆的用户、管理者等说明的信息的画面显示，则处理部20将与软件的更新相关的信息发送至信息终端95。该与软件的更新相关的信息的发送例如可以通过中心10经由通信部17发送的电子邮件来进行，也就可以通过云电子邮件来进行。在处理部20将与软件的更新相关的信息发送至信息终端95的情况下，处理部20向车辆(OTA管理器30)发送已将与软件的更新相关的信息发送至信息终端95这一内容的通知。优选已将与软件的更新相关的信息发送至信息终端95这一内容的通知是在简易的显示装置70也能够显示其内容的方式。另外，处理部20可以和与软件的更新相关的信息向信息终端95的发送同时、在发送前以及发送后的任一个中发送已将与软件的更新相关的信息发送至信息终端95这一内容的通知。这样，处理部20作为所谓的人机接口(HMI)功能部进行动作。此外，对于从中心10向车辆的通知而言，可以由OTA管理器30取得来对于显示装置70控制基于该通知的显示，也可以不经由OTA管理器30而由显示装置70直接接收并进行基于通知的显示。

(2)信息终端

信息终端95是车辆的用户、管理者所拥有的智能手机、个人计算机等装置。本实施方式的信息终端95具备接收中心10等发送的与软件的更新相关的信息等并能够供车辆的用户、管理者阅览该信息的内容的功能。该信息终端95能够通过被登记至车辆进行管理等来与车辆建立关联。信息终端95作为为了进行与车辆相关的特定的操作(例如车辆门的上锁解锁操作、远程驻车操作)、信息的显示等而被使用的人机接口(HMI)发挥功能。与车辆建立关联的信息终端95并不局限于1个，也可以为多个。

(3)车载网络

如图1所示，车载网络90具备OTA管理器30、多个电子控制单元50a～50d、显示装置70以及通信模块80。OTA管理器30与通信模块80经由总线60a连接。OTA管理器30与电子控制单元50a以及50b经由总线60b连接。OTA管理器30与电子控制单元50c以及50d经由总线60c连接。OTA管理器30与显示装置70经由总线60d连接。

OTA管理器30能够经由总线60a以及通信模块80并通过网络100来与中心10实现无线通信。另外，OTA管理器30能够经由总线60b～60d来与电子控制单元50a～50d以及显示装置70实现有线通信。该OTA管理器30管理OTA状态，控制软件更新处理的流程亦即更新时序来实施成为更新对象的电子控制单元(以下称为“目标电子控制单元”)的软件更新。OTA管理器30基于从中心10取得的更新数据等来控制电子控制单元50a～50d中的目标电子控制单元的软件更新。目标电子控制单元是作为软件更新的对象的电子控制单元。另外，OTA管理器30能够基于从中心10接收的与软件的更新相关的信息、通知来在显示装置70进行恰当的画面显示。OTA管理器30也存在被称为中央网关(CGW)的情况。1个以上的目标电子控制单元也可以作为OTA管理器30发挥功能。

图4是表示图1中的OTA管理器30的简要结构的框图。如图4所示，OTA管理器30具备CPU31、RAM32、ROM(Read-Only Memory)33、存储装置34以及通信装置36。CPU31、RAM32、ROM33以及存储装置34构成微型计算机35。在OTA管理器30中，CPU31通过使用RAM32作为工作区域执行从ROM33读出的程序，来执行与软件更新相关的规定的处理。通信装置36经由图1所示的总线60a～60d来与通信模块80、电子控制单元50a～50d以及显示装置70分别进行通信。

图5是图4所示的OTA管理器30的功能框图。图5所示的OTA管理器30具备存储部37、通信部38以及控制部39。存储部37由图4所示的存储装置34来实现。通信部38以及控制部39通过图4所示的CPU31使用RAM32执行存储于ROM33的程序来实现。

存储部37除了存储用于执行多个电子控制单元50a～50d的软件更新的程序(OTA管理器30的控制用程序)、在执行软件更新时使用的各种数据之外，还存储从中心10下载了的软件的更新数据等。另外，存储部37能够存储与分别搭载于多个电子控制单元50a～50d的非易失性存储器的类别相关的信息。另外，存储部37能够存储与显示装置70相关的信息。

通信部38作为与中心10之间进行数据、信息、通知以及请求等的发送及接收的发送部以及接收部发挥功能。通信部38例如以车辆的电源接通为契机来将软件的更新确认请求发送至中心10(发送部)。更新确认请求例如包括用于识别车辆的车辆ID和与车载网络90连接的电子控制单元50a～50d的软件的当前版本所涉及的信息。为了通过与中心10按每个车辆ID保持的软件的最新版本的比较来判定是否存在电子控制单元50a～50d的软件的更新数据而使用车辆ID以及电子控制单元50a～50d的软件的当前版本。另外，通信部38从中心10接收表示更新数据的有无的通知作为对于更新确认请求的响应(接收部)。在存在电子控制单元50a～50d的任一个的软件的更新数据的情况下，通信部38将包括软件的更新数据等的分发数据包的下载请求发送至中心10(发送部)。通信部38接收(下载)从中心10发送的分发数据包(接收部)。另外，通信部38将电子控制单元50a～50d发送的软件的更新状态发送至中心10(发送部)。另外，通信部38能够基于控制部39的指示来使显示装置70显示与软件的更新相关的信息、与该信息的发送相关的通知、软件的更新状态。另外，通信部38能够将与显示装置70相关的信息发送至中心10(发送部)。通信部38是“第1通信部”的一个例子。

控制部39基于通信部38接收到的对于更新确认请求的来自中心10的响应来判定是否存在电子控制单元50a～50d的任一个的软件的更新数据。另外，控制部39对通信部38从中心10通过分发数据包接收(下载)并储存于存储部37的更新数据的真实性进行验证。另外，控制部39使用从中心10下载了的更新数据来控制电子控制单元50a～50d的软件更新处理(安装、激活等)。具体而言，控制部39将下载了的更新数据(更新软件)转送至目标电子控制单元，使目标电子控制单元安装基于更新数据的更新软件。在安装完成后，控制部39对于目标电子控制单元指示使安装了的更新软件有效化的激活。

多个电子控制单元50a～50d是用于控制车辆的各部的动作的装置(ECU)。在图1中，示出了车载网络90具备4个电子控制单元50a～50d的例子。然而，电子控制单元的个数并不限定于4个。另外，将电子控制单元50a～50d与OTA管理器30连接的总线的条数也不特别限定。

显示装置70是为了在电子控制单元50a～50d的软件的更新处理时进行存在更新数据这一情况的显示、与软件更新有关的说明等显示、已将与软件的更新相关的信息发送至信息终端95这一内容的通知的显示、用于向车辆的用户、管理者请求对于软件更新的同意的同意请求画面的显示、以及软件更新的结果、状态的显示等各种显示而使用的人机接口(HMI)。作为显示装置70，典型的能够使用汽车导航系统的显示装置。显示装置70只要能够显示软件的更新处理时所需的信息即可，不特别限定。例如，无法提示与软件的更新相关的信息的仪表等简易的HMI装置也包含于显示装置70。在本实施方式中，对显示装置70通过OTA管理器30接收从中心10发送的信息、通知的情况进行了说明，但显示装置70也可以不经由OTA管理器30而直接从通信模块80或不经由通信模块80而经由未图示的其他通信设备从中心10直接接收信息、通知。此外，在图1所示的总线60d可以除了显示装置70之外还连接有电子控制单元等。

通信模块80是具有对中心10与车辆的通信进行控制的功能的单元。通信模块80是用于将车载网络90与中心10连接的通信设备。通信模块80经由网络100与中心10无线连接。OTA管理器30经由通信模块80进行车辆的认证、更新数据的下载等。该通信模块80也可以构成为包含于OTA管理器30。

此外，在包括车载网络90的车辆也可以设置有开关(未图示)等输入部，该开关等输入部能够请求中心10向信息终端95再发送与软件的更新相关的信息(请求再发送)。当了解到在显示装置70画面显示出的已将与软件的更新相关的信息发送至信息终端95这一内容的通知的车辆的用户、管理者等想再次利用信息终端95接收与软件的更新相关的信息的情况下，利用该开关。因此，优选开关被设置于显示装置70的附近、方向盘等。开关也可以显示于显示装置70上。另外，也可以设计为能够从信息终端95直接请求与软件的更新相关的信息的再发送。这样，只要是响应于用户、管理者等发起的行动而发送来的信息，就能够给用户、管理者等带来可靠感。

软件更新处理的概要

OTA管理器30例如以车辆的电源接通为契机来将软件的更新确认请求发送至中心10。更新确认请求包括用于识别车辆的车辆ID和车辆构成信息。该车辆构成信息是与车载网络90连接的电子控制单元50a～50d的硬件以及软件的当前版本等与电子控制单元的状态(系统构成)相关的信息。能够通过从与车载网络90连接的电子控制单元50a～50d取得电子控制单元的识别编号(ECU＿ID)和电子控制单元的软件版本的识别编号(ECU＿Software＿ID)来创建车辆构成信息。为了通过与中心10按每个车辆ID保持的软件的最新版本的比较来判定是否存在电子控制单元50a～50d的软件的更新数据而使用车辆ID以及电子控制单元50a～50d的软件的当前版本。中心10将表示更新数据的有无的通知、与软件的更新相关的信息等发送至OTA管理器30以及/或者信息终端95作为对于从OTA管理器30接收到的更新确认请求的响应。当存在电子控制单元50a～50d的软件的更新数据的情况下，OTA管理器30将分发数据包的下载请求发送至中心10。中心10根据从OTA管理器30接收到的下载请求来将包括更新数据等的分发数据包发送至OTA管理器30。分发数据包可以除了包括更新数据之外还包括用于验证更新数据的真实性的验证用数据、更新数据的数量、类别信息、在软件更新时使用的各种控制信息等。

OTA管理器30基于从中心10接收到的对于更新确认请的响应来判定是否存在电子控制单元50a～50d的软件的更新数据。另外，OTA管理器30对从中心10接收并储存于存储装置34的分发数据包的真实性进行验证。另外，OTA管理器30将通过分发数据包下载了的更新数据转送至目标电子控制单元。OTA管理器30使目标电子控制单元安装更新软件。在安装完成后，OTA管理器30对于目标电子控制单元指示进行使安装了的更新版的软件有效的激活。

另外，中心10在同意请求处理中使输出装置输出对软件的更新进行说明的信息、对于软件更新需要同意这一内容的通知、催促同意软件更新这一内容的输入的通知。作为输出装置，能够利用设置于车载网络90的显示装置70、信息终端95等。例如，在同意请求处理中，若能够利用显示装置70的画面显示应该事先对于车辆的用户、管理者等进行说明的信息，则显示装置70被使用为输出装置。在使用显示装置70作为输出装置的情况下，OTA管理器30能够使显示装置70显示与软件的更新相关的信息、用于向用户或者管理者请求软件更新的同意的同意请求画面、在用户或者管理者同意的情况下催促用户或者管理者按下同意按钮等特定的输入操作的通知等。在同意请求处理中，若无法利用显示装置70的画面来显示应该事先对于车辆的用户、管理者等进行说明的信息，则可使用信息终端95作为输出装置。在使用信息终端95作为输出装置的情况下，能够(通过中心10)使信息终端95的显示画面显示与软件的更新相关的信息、用于向用户或者管理者请求软件更新的同意的同意请求、在用户或者管理者同意的情况下催促用户或者管理者按下同意按钮等特定的输入操作的通知等。中心10若经由OTA管理器30以及/或者信息终端95从用户或者管理者受理到同意这一内容的输入，则对于OTA管理器30指示上述的安装以及激活的控制处理的执行，更新目标电子控制单元的软件。

这里，在目标电子控制单元的非易失性存储器是具有用于储存软件等数据的1个储存区域的单库存储器的情况下，原则上连续地进行安装与激活。因此，在安装执行前进行对于软件更新的同意请求处理。此外，即便目标电子控制单元的非易失性存储器是单库存储器，目标电子控制单元也可根据被从中心10指示的与更新时序相关的信息而请求为在安装完成的状态下暂时停止更新处理、即暂缓(待机)激活。另外，在目标电子控制单元的非易失性存储器是具有用于储存软件等数据的2个储存区域的双库存储器的情况下，至少在安装执行后且激活执行前进行对于软件更新的同意请求处理。其中，在目标电子控制单元的非易失性存储器是双库存储器的情况下，安装执行前的对于软件的更新的同意请求处理可以进行，也可以省略。

软件更新处理由下载阶段、安装阶段、激活阶段构成。在下载阶段中，OTA管理器30从中心10下载更新数据。在安装阶段中，OTA管理器30将下载了的更新数据(更新软件)转送(发送)至目标电子控制单元，在目标电子控制单元的储存区域安装基于更新数据的更新软件。在激活阶段中，目标电子控制单元将安装了的更新软件有效化。

下载是OTA管理器30接收用于更新电子控制单元的软件的更新数据并存储于存储部37的处理。更新数据包含于分发数据包，被从中心10发送至OTA管理器30。在下载阶段中，不仅包括下载的执行，还包括下载的可否执行判断、更新数据的验证等与下载相关的一系列处理的控制。

从中心10发送至OTA管理器30的更新数据可以包括电子控制单元的更新软件(完整数据或者差分数据)、压缩更新软件而成的压缩数据、分割更新软件或者压缩数据而成的分割数据中的任一个。另外，更新数据可以包括目标电子控制单元的ECU＿ID(或者序列号)和更新前的目标电子控制单元的ECU＿Software＿ID。更新数据被作为上述的分发数据包下载。然而，分发数据包中包括单个电子控制单元或者多个电子控制单元的更新数据。

安装是OTA管理器30基于从中心10下载了的更新数据将更新软件(更新版的程序)写入至目标电子控制单元的非易失性存储器的处理。在安装阶段中，不仅包括安装的执行，还包括安装的可否执行判断、更新数据的转送以及更新软件的验证等与安装相关的一系列处理的控制。

当更新数据包括更新软件本身(完整数据)的情况下，在安装阶段中，OTA管理器30将更新数据(更新软件)转送至目标电子控制单元。另外，在更新数据包括更新软件的压缩数据、或者差分数据、或分割数据的情况下，可以是OTA管理器30将更新数据转送至目标电子控制单元，目标电子控制单元根据更新数据来生成更新软件。或者，也可以是在OTA管理器30根据更新数据生成更新软件之后将更新软件转送至目标电子控制单元。这里，更新软件的生成能够通过压缩数据的解压、差分数据或者分割数据的组合(整合)来进行。

更新软件的安装能够由目标电子控制单元基于来自OTA管理器30的安装请求来进行。此外，接收到更新数据的特定的目标电子控制单元可以自主地进行更新软件的安装而不接受来自OTA管理器30的明确的指示。

激活是目标电子控制单元将已安装于自身的非易失性存储器的更新软件有效化(激活)的处理。在激活阶段中，不仅包括激活的执行，还包括激活的可否执行判断、向车辆的用户或者管理者的对于激活的同意请求、执行结果的验证等与激活相关的一系列控制。

更新软件的激活能够由目标电子控制单元基于来自OTA管理器30的激活请求来进行。此外，接收到更新数据的特定的目标电子控制单元可以在安装完成后自主地进行激活而不接受来自OTA管理器30的明确的指示。

其中，能够对于多个目标电子控制单元分别连续或并列地进行软件更新处理。

另外，“软件更新处理”不仅包括连续地进行下载、安装以及激活的全部的处理，还包括仅进行下载、安装、以及激活中的一部分的处理。

处理

接下来，进而参照图6A、图6B、以及图7来对在本实施方式所涉及的网络系统中执行的软件的更新处理进行说明。

图6A以及图6B是对中心10所进行的软件更新涉及信息的发送处理的步骤进行说明的流程图。图6A的处理与图6B的处理通过连接符X以及Y连结。

步骤S601

中心10对在车辆中是否存在需要更新的软件进行判断。中心10能够基于从OTA管理器30发送的更新确认请求所包括的、从车辆构成信息取得的搭载于车辆的各电子控制单元50a～50d的软件的当前版本和存储于中心10的存储部16的各软件的最新版本来进行该判断。当中心10判定为在成为对象的车辆中存在需要更新的软件的情况下(步骤S601，是)，处理进入至步骤S602。另一方面，当中心10判断为在成为对象的车辆中不存在需要更新的软件的情况下(步骤S601，否)，本处理结束。

步骤S602

中心10对被搭载于成为软件更新的对象的车辆的显示装置70是否满足规定的条件进行判断。这里，规定的条件是在使用了OTA的软件更新时能够利用显示装置70的画面来显示应该事先对于车辆的用户、管理者等进行说明的信息(控制的变更内容等)这一条件。中心10基于取得部19取得的与显示装置70相关的信息来进行该判断。在中心10判断为显示装置70满足规定的条件的情况下(步骤S602，是)，处理进入至步骤S604。另一方面，在中心10判断为显示装置70不满足规定的条件的情况下(步骤S602，否)，处理进入至步骤S603。

步骤S603

中心10对是否存在与成为软件更新的对象的车辆建立了关联的信息终端95进行判断。与车辆建立了关联的信息终端95通常被预先登记在车辆所具有的存储部、管理车辆的外部的管理设备等。因此，中心10能够基于这些登记信息来进行该判断。在中心10判断为存在与车辆建立了关联的信息终端95的情况下(步骤S603，是)，处理进入至步骤S605。另一方面，在中心10判断为不存在与车辆建立了关联的信息终端95的情况下(步骤S603，否)，本处理结束而不进行软件的更新处理。

步骤S604

中心10将与软件的更新相关的信息(与软件的更新内容有关的说明、软件更新的同意请求等)发送至车辆(OTA管理器30)。在接收到该信息的车辆中，在显示装置70进行基于与软件的更新相关的信息的画面显示。若与软件的更新相关的信息被发送至车辆，则处理进入至步骤S607。

步骤S605

中心10将与软件的更新相关的信息(与软件的更新内容有关的说明、软件更新的同意请求等)发送至信息终端95。当在上述步骤S603中判断为与车辆建立了关联的信息终端95存在多个的情况下，中心10可以向全部的终端发送信息，也可以向一部分终端(例如最靠近车辆的1个)发送信息。在接收到该信息的信息终端95中，进行基于与软件的更新相关的信息的画面显示。在画面中除了能够以文本形式显示信息的内容之外，还能够使用与记载了信息的内容的Web页链接的地址、能够提示信息的内容的应用的启动按钮等各种方式。若与软件的更新相关的信息被发送至信息终端95，则处理进入至步骤S606。

步骤S606

中心10向车辆(OTA管理器30)发送已将与软件的更新相关的信息发送至信息终端95这一内容的通知。该通知和与软件的更新相关的信息相比信息量少，即便是无法提示与软件的更新相关的信息的仪表等简易的HMI装置也能够显示该通知内容。作为通知，能够例示包括可识别为是车辆(OTA管理器30)自己发起的事件的字符串的消息等。通过这样的通知，在上述步骤S605中信息终端95通过电子邮件等接收到的与软件的更新相关的信息能够被车辆的用户、管理者等注意到的概率变高。另外，被车辆的用户、管理者等判断为在上述步骤S605中信息终端95通过电子邮件等接收到的与软件的更新相关的信息是具有可靠性的重要的信息的可能性变高。若已将与软件的更新相关的信息发送至信息终端95这一内容的通知被发送至车辆，则处理进入至步骤S607。步骤S605与步骤S606也可以同时进行。

步骤S607

中心10对从车辆(OTA管理器30)或者信息终端95是否接收到更新同意通知进行判断，作为对于与软件的更新相关的信息的响应。通过接收更新同意通知，中心10能够判断为是在车辆的用户、管理者等理解了软件的更新内容之后获得了更新的同意。在中心10判断为从车辆(OTA管理器30)或者信息终端95接收到更新同意通知的情况下(步骤S607，是)，处理进入至步骤S608。在中心10判断为未接收到更新同意通知的情况下(步骤S607，否)，处理反复进行步骤S607(中心10等待接受更新同意通知)。此外，在中心10无法从车辆(OTA管理器30)或者信息终端95接收更新同意通知的情况持续规定期间的情况下，可以使本处理结束而不进行软件的更新处理。

步骤S608

中心10使对被搭载于车辆的目标电子控制单元的软件进行更新的处理(下载、安装、激活)执行。由此，与本软件更新相关的信息的发送处理结束。另外，在本实施方式中，如步骤S602那样根据显示装置70是否满足规定的条件来决定与软件更新相关的信息的发送对象。然而，也可以预先决定为将与软件更新相关的信息发送至信息终端95。该情况下，可以省略步骤S602以及步骤S604。

图7是对中心10、OTA管理器30以及目标电子控制单元所执行的软件更新控制处理的一个例子进行说明的流程图。该图7是为了获得软件的更新处理中的下载的允许而在下载阶段实施了上述的与软件更新相关的信息的发送处理(图6A以及图6B)之后的软件更新时序的例子。

此外，与软件更新相关的信息的发送处理(图6A以及图6B)不仅在本实施方式说明的下载阶段中实施，也可以为了获得软件的更新处理中的安装的允许而在安装阶段中实施，还可以为了获得软件的更新处理中的激活的允许而在激活阶段中实施。

步骤S701

中心10对从OTA管理器30是否存在分发数据包的下载请求进行判断。当中心10判断为存在下载请求的情况下(步骤S701，是)，处理进入至步骤S702。在中心10判断为无下载请求的情况下(步骤S701，否)，处理反复进行步骤S701(中心10等待接受下载请求)。

步骤S702

OTA管理器30进行更新数据的下载。更详细而言，OTA管理器30接收从中心10发送的包括更新数据的分发数据包。OTA管理器30将接收到的分发数据包储存于存储部37。若进行了更新数据的下载，则处理进入至步骤S703。

步骤S703

OTA管理器30对于目标电子控制单元执行基于更新数据的软件的安装。更详细而言，OTA管理器30基于分发数据包所包括的信息来将分发数据包所包括的更新数据转送至目标电子控制单元。然后，OTA管理器30指示更新软件的安装。安装是将更新数据写入至目标电子控制单元的数据储存区域的处理。若执行了更新软件的安装，则处理进入至步骤S704。

步骤S704

OTA管理器30执行已被安装于目标电子控制单元的更新软件的激活。更详细而言，OTA管理器30基于分发数据包所包括的信息来对于已将更新软件写入至数据储存区域的目标电子控制单元指示更新软件的激活。目标电子控制单元以进行了电源断开等特定的输入操作为契机而重新启动，执行更新软件的激活。若执行了更新软件的激活处理，则本软件更新控制处理结束。

作用/效果

如以上那样，根据本公开的一个实施方式所涉及的网络系统，当进行被搭载于车辆的电子控制单元的软件更新时，在被搭载于车辆的显示装置70无法充分显示与软件的更新相关的信息的情况下，中心10通过电子邮件等对于与车辆建立了关联的信息终端95发送与软件的更新相关的信息。与该发送一同，中心10还向车辆发送已将与软件的更新相关的信息发送至该信息终端95这一内容的通知(OTA管理器30)。车辆使显示装置70显示从中心10接收到的通知。

通过该处理，若车辆的用户、管理者等观察显示于显示装置70的内容，则能够判断为已被发送给自己的信息终端95的电子邮件等是具有可靠性的信息。另外，车辆的用户、管理者等能够注意到电子邮件被发送至自己的信息终端95。因此，能够避免用户、管理者等没注意在使用了OTA的软件更新时通过电子邮件等发送至车辆的用户、管理者等所拥有的信息终端95的信息、或无法将在使用了OTA的软件更新时通过电子邮件等发送至车辆的用户、管理者等所拥有的信息终端95的信息理解为需要且具有可靠性的信息之类的情况。而且，在判断为车辆的用户、管理者等理解软件的更新内容且获得了更新的同意之后，能够使对被搭载于车辆的目标电子控制单元的软件进行更新的处理执行。

以上，对本公开技术的一个实施方式进行了说明，但本公开不仅能够理解为具备中心和车辆的系统、中心，还能够理解为具备处理器和存储器的中心所执行的方法、程序、存储有程序的计算机可读取的非暂时性存储介质、能够与中心通信的OTA管理器或具备OTA管理器的车辆等。中心可以具备1个以上的处理器。OTA管理器可以具备1个以上的处理器。

本公开技术能够在用于对被搭载于车辆的电子控制单元的软件进行更新的网络系统中利用。

Claims (11)

1.一种系统，其特征在于，包括：

车辆，搭载了电子控制单元；

中心，构成为对所述电子控制单元的软件的更新进行控制；以及

信息终端，与所述车辆建立了关联，

其中，

所述车辆具备：

显示装置；和

第1通信部，构成为与所述中心之间进行通信，

所述中心具备：

第2通信部，构成为与所述车辆以及所述信息终端之间进行通信；和

处理部，

所述处理部构成为：

将与所述软件的更新相关的信息发送至所述信息终端；

在所述处理部已将与所述软件的更新相关的信息发送至所述信息终端的情况下，向所述车辆发送表示已将与所述软件的更新相关的信息发送至所述信息终端这一内容的通知；以及

在所述车辆使所述显示装置显示从所述中心接收到的所述通知。

2.根据权利要求1所述的系统，其特征在于，

所述中心的所述处理部构成为在被搭载于所述车辆的所述显示装置无法显示与所述软件的更新相关的信息的情况下，将与所述软件的更新相关的信息发送至所述信息终端。

3.根据权利要求1或2所述的系统，其特征在于，

所述车辆还具备开关，该开关用于对所述中心指示与所述软件的更新相关的信息向所述信息终端的再发送。

4.根据权利要求1～3中任一项所述的系统，其特征在于，

所述中心还具备控制部，该控制部构成为基于作为对于与所述软件的更新相关的信息的响应而从所述信息终端接收的更新同意通知来控制所述软件的更新。

5.根据权利要求1～4中任一项所述的系统，其特征在于，

所述车辆还具备发送部，该发送部构成为将与所述显示装置相关的信息发送至所述中心，

所述中心还具备取得部，该取得部构成为从所述车辆取得与所述显示装置相关的信息。

6.一种中心，构成为对被搭载于车辆的电子控制单元的软件的更新进行控制，

所述中心的特征在于，包括：

通信部，构成为与所述车辆以及和所述车辆建立了关联的信息终端之间进行通信；和

处理部，

所述处理部构成为：

将与所述软件的更新相关的信息发送至所述信息终端；和

在所述处理部已将与所述软件的更新相关的信息发送至所述信息终端的情况下，向所述车辆发送表示与所述软件的更新相关的信息已被发送给所述信息终端这一内容的通知。

7.根据权利要求6所述的中心，其特征在于，

还包括构成为从所述车辆取得与被搭载于所述车辆的显示装置相关的信息的取得部，

其中，

所述处理部构成为在所述显示装置无法显示与所述软件的更新相关的信息的情况下，将与所述软件的更新相关的信息发送至所述信息终端。

8.根据权利要求6或7所述的中心，其特征在于，

所述处理部构成为在所述通信部从所述车辆接收到再发送请求的情况下，将与所述软件的更新相关的信息再发送至所述信息终端。

9.根据权利要求6～8中任一项所述的中心，其特征在于，

还包括控制部，该控制部构成为基于作为对于与所述软件的更新相关的信息的响应而由所述通信部从所述信息终端接收的更新同意通知来对所述软件的更新进行控制。

10.一种方法，由构成为对被搭载于车辆的电子控制单元的软件的更新进行控制的中心执行，所述中心具备存储器和1个以上的处理器，

所述方法的特征在于，包括：

将与所述软件的更新相关的信息发送至与所述车辆建立了关联的信息终端；和

在所述中心已将与所述软件的更新相关的信息发送至所述信息终端的情况下，向所述车辆发送表示已将与所述软件的更新相关的信息发送至所述信息终端这一内容的通知。

11.一种非暂时性存储介质，储存有能够由中心的1个或者多个计算机执行且使所述1个或者多个计算机执行以下的功能的命令，所述中心具备存储器和1个以上的处理器，所述中心构成为对被搭载于车辆的电子控制单元的软件的更新进行控制，

所述非暂时性存储介质的特征在于，

所述功能包括：

将与所述软件的更新相关的信息发送至与所述车辆建立了关联的信息终端；和

在与所述软件的更新相关的信息已被发送至所述信息终端的情况下，向所述车辆发送表示与所述软件的更新相关的信息已被发送至所述信息终端这一内容的通知。

Images