CN117321567A - 车辆用电子控制装置、车辆用电子控制系统以及更新后结构信息判定程序 - Google Patents

Abstract

车辆用电子控制装置(13)具备：更新数据获取部(34a)，通过有线通信从工作人员能够操作的有线工具获取更新数据；第一更新后结构信息获取部(34b)，通过有线通信从有线工具获取更新后的结构信息作为第一更新后结构信息；软件更新部(34c)，通过将更新数据写入更新对象节点来对更新对象节点的软件进行更新；第二更新后结构信息获取部(34d)，从包含更新对象节点的管理对象节点获取更新后的结构信息作为第二更新后结构信息；以及第一匹配性判定部(34e)，对第一更新后结构信息与第二更新后结构信息进行对照来判定更新后结构信息的匹配性。

Description

车辆用电子控制装置、车辆用电子控制系统以及更新后结构 信息判定程序

相关申请的交叉引用

本申请主张于2021年5月14日申请的日本申请编号2021－082438的优先权，并在此引用其全部内容。

技术领域

本公开涉及车辆用电子控制装置、车辆用电子控制系统以及更新后结构信息判定程序。

背景技术

近年，随着驾驶辅助功能、自动驾驶功能等车辆控制的多样化，包含搭载于车辆的电子控制装置(以下，称为ECU(Electronic Control Unit：电子控制单元))等节点的车辆控制、诊断等程序、数据的软件的规模增大。另外，随着功能改善等所带来的升级，更新(重编)节点的动作所需要的软件的机会也增加。另一方面，随着通信网络的发展等，联网汽车的技术也普及。由于这样的情况，提出了在车辆侧设置作为网关ECU发挥作用的车辆用电子控制装置，在车辆用电子控制装置中，将从中心装置下载的更新数据分发给更新对象节点，通过OTA(Over The Air：空中下载)对更新对象节点的软件进行更新的技术。

若对更新对象节点的软件进行更新，则更新包含节点的硬件的版本、软件的版本等的结构信息。因此，为了判定更新对象节点的软件是否被正常地更新，需要验证更新后的结构信息亦即更新后结构信息是否正规。例如在专利文献1公开了如下构成，在车辆用电子控制装置中，从包含更新对象节点的管理对象节点获取更新后结构信息并发送给中心装置，在中心装置中，对预先存储的更新后结构信息与从车辆用电子控制装置接收的更新后结构信息进行对照，来验证更新后结构信息是否正规。

专利文献1：日本特开2020－27623号公报

在中心装置中验证上述的更新后结构信息是否正规的构成以在OTA服务的合同签订后，车辆用电子控制装置能够与中心装置建立通信连接的状况为前提。另一方面，在OTA服务的合同签订前，是车辆用电子控制装置不能够与中心装置建立通信连接的状况，所以在中心装置中不能够验证更新后结构信息是否正规。因此，例如在后台等在OTA服务的合同签订前使用有线工具更新节点的软件的情况下，不能够验证更新后结构信息是否正规。

发明内容

本公开的目的在于即使在OTA服务的合同签订前，不能够与中心装置建立通信连接的状况下，也适当地验证更新后结构信息是否正规。

根据本公开的一方式，更新数据获取部通过有线通信从工作人员能够操作的有线工具获取更新数据。第一更新后结构信息获取部通过有线通信从有线工具获取更新后的结构信息作为第一更新后结构信息。软件更新部通过将更新数据写入更新对象节点来更新更新对象节点的软件。第二更新后结构信息获取部从包含更新对象节点的管理对象节点获取更新后的结构信息作为第二更新后结构信息。第一匹配性判定部对第一更新后结构信息与第二更新后结构信息进行对照来判定更新后结构信息的匹配性。

对从有线工具获取的第一更新后结构信息、和在对更新对象节点的软件进行更新之后从包含更新对象节点的管理对象节点获取的第二更新后结构信息进行对照来判定匹配性。即使在OTA服务的合同签订前，不能够与中心装置建立通信连接的状况下，也能够适当地验证更新后结构信息是否正规。

附图说明

通过参照附图并且下述的详细的记述，本公开的上述目的以及其它的目的、特征、优点变得更加明确。该附图是：

图1是表示一实施方式的整体构成的图。

图2是表示CGW的电构成的图。

图3是表示ECU的电构成的图。

图4是CGW的功能框图。

图5是表示从有线工具转送到CGW的更新后的结构信息的图。

图6是表示从有线工具转送到CGW的更新后的结构信息的图。

图7是表示从管理对象ECU转送到CGW的结构信息的图。

图8是表示RxSWIN的图。

图9是表示处理的流程的图。

图10是表示处理的流程的图。

图11是表示处理的流程的图。

图12是表示处理的流程的图。

图13是流程图。

具体实施方式

以下，参照附图对一实施方式进行说明。车辆用电子控制系统是能够通过OTA(Over The Air)更新搭载于电子控制装置(以下，称为ECU(Electronic Control Unit))的车辆控制、诊断等软件的系统。软件包含用于实现车辆控制、诊断等功能的程序、数据，也能够表述为应用程序。在本实施方式中，对更新车辆控制、诊断等软件的情况进行说明，但例如也能够应用于更新地图应用、该地图应用所使用的地图数据等的情况。

如图1所示，车辆用电子控制系统1具有通信网络2侧的中心装置3、车辆侧的车辆侧系统4以及显示终端5。通信网络2例如构成为包含基于4G线路等的移动体通信网络、因特网、WiFi(Wireless Fidelity：无线保真)(注册商标)等。

显示终端5是具有受理来自用户的操作输入的功能、显示各种画面的功能的终端，例如是用户能够携带的智能手机、平板电脑等移动终端6、配置于车厢内的车载显示器7。移动终端6若在移动体通信网络的通信范围内，则能够经由通信网络2与中心装置3进行数据通信。车载显示器7也可以构成为与车辆侧系统4连接，兼具导航功能。另外，车载显示器7也可以是具有ECU的功能的车载显示器ECU，也可以具有控制向中心显示器、仪表显示器等的显示的功能。

用户若在车厢外且在移动体通信网络的通信范围内，则能够在通过移动终端6确认与软件的更新相关的各种画面的同时进行操作输入，进行与软件的更新相关的手续。用户在车厢内，能够在通过车载显示器7确认与软件的更新相关的各种画面的同时进行操作输入，进行与软件的更新相关的手续。即，用户能够在车厢外和车厢内分开使用移动终端6和车载显示器7，来进行与软件的更新相关的手续。

中心装置3在车辆用电子控制系统1中总括通信网络2侧的软件的更新功能，作为提供OTA服务的OTA中心发挥作用。中心装置3构成为具有文件服务器8、Web服务器9、以及管理服务器10，各服务器8～10能够相互进行数据通信。即，中心装置3构成为包含按功能不同的多个服务器。

文件服务器8是管理从中心装置3分发到车辆侧系统4的软件的文件的服务器。文件服务器8管理从自中心装置3向车辆侧系统4分发的软件的提供商亦即供应商等提供的更新数据、从OEM(Original Equipment Manufacturer：原始设备制造商)提供的规格数据、从车辆侧系统4获取的车辆状态等。文件服务器8能够经由通信网络2在与车辆侧系统4之间进行数据通信，若从车辆侧系统4接收数据包数据的下载要求，则向车辆侧系统4发送包含将更新数据和规格数据打包为一个文件的数据包数据的下载数据。下载数据包含被压缩的zip格式的文件。另外，文件服务器8也可以不将更新数据和规格数据同时发送到车辆侧系统4，而先将规格数据发送到车辆侧系统4，之后将包含将更新数据打包为一个文件的数据包数据的下载数据发送给车辆侧系统4。

Web服务器9是管理Web信息的服务器。Web服务器9根据来自移动终端6等具有的Web浏览器的要求发送自己管理的Web数据。管理服务器10是管理在软件的更新的服务注册的用户的个人信息、每个车辆的软件的更新履历等的服务器。

车辆侧系统4具有车辆用主装置11。车辆用主装置11在车辆用电子控制系统1中总括车辆侧的软件的更新功能，作为OTA主机发挥作用。车辆用主装置11具有DCM(DataCommunication Module：数据通信模块)12、和CGW(Central Gate Way：中央网关)13。DCM12在与中心装置3之间经由通信网络2进行数据通信。

CGW13作为网关ECU发挥作用，相当于车辆用电子控制装置。DCM12与CGW13经由第一总线14以能够进行数据通信的方式连接。在图1中，例示了DCM12和车载显示器7与同一第一总线14连接的构成，但也可以构成为DCM12和车载显示器7与不同的总线连接。另外，也可以构成为由CGW13具有DCM12的功能的一部分或者整体，也可以构成为由DCM12具有CGW13的功能的一部分或者整体。即，在车辆用主装置11中，DCM12和CGW13的功能分担可以任意地构成。车辆用主装置11既可以由DCM12以及CGW13的两个ECU构成，也可以由具有DCM12的功能和CGW13的功能的一个综合ECU构成。

在CGW13中，除了第一总线14之外，还连接有第二总线15、第三总线16、第四总线17、第五总线18作为车内侧的总线，经由总线15～17连接各种ECU19，并且经由总线18连接电源管理ECU20。ECU19相当于节点。

第二总线15例如是车身系网络的总线。与第二总线15连接的ECU19是进行车身系的控制的ECU。进行车身系的控制的ECU例如是控制车门的上锁/开锁的车门ECU、控制向仪表显示器的显示的仪表ECU、控制空调的驱动的空调ECU、控制车窗的开闭的车窗ECU、为了车辆的防盗而驱动的安全ECU等。

第三总线16例如是行驶系网络的总线。与第三总线16连接的ECU19是进行行驶系的控制的ECU。进行行驶系的控制的ECU例如是控制发动机的驱动的发动机ECU、控制制动器的驱动的制动器ECU、控制自动变速器的驱动的ECT(Electronic ControlledTransmission：电子控制变速器)ECU、控制动力转向的驱动的动力转向ECU等。

第四总线17例如是多媒体系网络的总线。与第四总线17连接的ECU19是进行多媒体系的控制的ECU。进行多媒体系的控制的ECU例如是用于控制导航系统的导航ECU、控制电子收费系统(ETC(Electronic Toll Collection System，注册商标))的ETCECU等。总线15～17也可以是车身系网络的总线、行驶系网络的总线、多媒体系网络的总线以外的系统的总线。另外，总线的根数、ECU19的个数并不限定于例示的构成。

电源管理ECU20是管理向DCM12、CGW13、各种ECU19等供给的电源的ECU。

在CGW13连接有第六总线21作为车外侧的总线。在第六总线21连接有以能够拆卸的方式连接有线工具23的DLC(Data Link Coupler：数据链路耦合器)连接器22。有线工具23能够拆装存储器24，在连接存储器24的状态下能够读入保存于该存储器24的信息。存储器24例如是USB(Universal Serial Bus：通用串行总线)存储器、存储卡、SSD(Solid StateDrive：固盘)等闪存存储装置。

车内侧的总线14～18以及车外侧的总线21例如由CAN(Controller AreaNetwork：控制器局域网，注册商标)总线构成，CGW13根据CAN的数据通信标准、诊断通信标准(UDS(Unified Diagnosis Services：统一诊断服务)：ISO14229)在与DCM12、ECU19、有线工具23之间进行数据通信。另外，既可以DCM12与CGW13通过以太网连接，也可以DLC连接器22与CGW13通过以太网连接。

在通过无线更新软件的情况下，DCM12若从文件服务器8下载下载数据，则将该下载的下载数据发送到CGW13。CGW13若从DCM12接收下载数据，则对该接收的下载数据进行解压缩获取数据包数据，并从该获取的数据包数据获取更新数据以及规格数据。CGW13以能够指示写入更新数据的安装的条件成立为条件，将更新数据发送到软件的更新对象亦即更新对象ECU19，并对更新对象ECU19指示该获取的更新数据的安装。能够指示安装的条件是指得到安装的批准、车辆状态为能够安装的状态、更新对象ECU19为能够安装的状态、重编数据为正常的数据等。更新对象ECU19若从CGW13指示了更新数据的安装，则以能够执行安装的条件成立为条件，执行更新数据的安装。

若在更新对象ECU19中更新数据的安装完成，则CGW13以能够指示使更新完成后的软件有效的激活的条件成立为条件，指示更新对象ECU19进行激活。能够指示激活的条件是指得到激活的批准、车辆状态为能够激活的状态、更新对象ECU19为能够激活的状态等。更新对象ECU19若从CGW13指示了激活，则以能够执行激活的条件成立为条件，执行激活。

另一方面，在通过有线更新软件的情况下，若有线工具23与DLC连接器22连接，则有线工具23将更新数据转送到CGW13。CGW13若从有线工具23转送了更新数据，则以能够指示写入更新数据的安装的条件成立为条件，将更新数据发送到更新对象ECU19，并对更新对象ECU19指示获取的该更新数据的安装。更新对象ECU19若从CGW13指示了更新数据的安装，则以能够执行安装的条件成立为条件，执行更新数据的安装。

若在更新对象ECU19中更新数据的安装完成，则CGW13以能够指示使更新完成后的软件有效的激活的条件成立为条件，对更新对象ECU19指示激活。更新对象ECU19若从CGW13指示了激活，则以能够执行激活的条件成立为条件，执行激活。

如图2所示，CGW13具有微型计算机(以下，称为微机)25、存储器26、数据转送电路27、电源电路28、以及电源检测电路29作为电功能模块。微机25具有CPU(CentralProcessing Unit：中央处理器)25a、ROM(Read Only Memory：只读存储器)25b、RAM(RandomAccess Memory：随机存储器)25c、以及闪存25d。在闪存25d包含有不能够从CGW13的外部进行信息的读出的安全区域。微机25执行储存于非迁移实体存储介质的各种控制程序进行各种处理，来控制CGW13的动作。在本实施方式中，例示了在CGW13搭载一个微机25的构成，但能够根据CGW13所要求的处理能力决定搭载于CGW13的微机的个数、规格、组合。即，若为CGW13要求比较高的处理能力的情况，则采用比较高的规格的微机，或者为了实现分散处理、并列处理而采用多个微机。

存储器26例如是eMMC(embedded Multi Media Card：嵌入式多媒体卡)、NorFlash。数据转送电路27控制与总线14～18、21之间的依据CAN的数据通信标准、诊断通信标准的数据通信。电源电路28输入蓄电池电源、附件电源、点火电源。电源检测电路29检测电源电路28输入的蓄电池电源的电压值、附件电源的电压值、点火电源的电压值，将这些检测出的电压值与规定的电压阈值进行比较，并将该比较结果输出到微机25～26。微机25～26根据从电源检测电路29输入的比较结果，判定从外部供给至CGW13的蓄电池电源、附件电源、点火电源正常还是异常。

如图3所示，ECU19具有微机30、数据转送电路31、电源电路32、以及电源检测电路33作为电功能模块。微机30具有CPU30a、ROM30b、RAM30c、以及闪存30d。在闪存30d包含有不能够从ECU19的外部进行信息的读出的安全区域。微机30执行储存于非迁移实体存储介质的各种控制程序进行各种处理，来控制ECU19的动作。

数据转送电路31控制与总线15～17之间的依据CAN的数据通信标准的数据通信。电源电路32输入蓄电池电源、附件电源、点火电源。电源检测电路33检测电源电路32输入的蓄电池电源的电压值、附件电源的电压值、点火电源的电压值，将这些检测出的电压值与规定的电压阈值进行比较，并将该比较结果输出给微机30。微机30根据从电源检测电路27输入的比较结果，判定从外部供给至ECU19的蓄电池电源、附件电源、点火电源正常还是异常。另外，ECU19自己连接的例如传感器、促动器等负载不同，基本而言为相同的构成。

在上述的构成中，在OTA服务的合同签订后，CGW13能够与中心装置3建立通信连接的状况下，能够通过无线以及有线的任何一个更新软件。另一方面，在OTA服务的合同签订前，CGW13不能够与中心装置3建立通信连接的状况下，不能够通过无线更新软件，仅能够通过有线更新软件。

若更新对象ECU19的软件被更新，则包含节点的硬件的版本、软件的版本等的结构信息被更新，所以为了判定更新对象ECU19的软件是否被正常地更新，需要验证更新后的结构信息是否正规。另外，若软件的更新为法规要求的对象，则除了结构信息之外，也更新RxSWIN(Rx Software Identification Number：Rx软件识别码)，所以需要验证更新后的RxSWIN是否也正规。RxSWIN是用于管理与汽车的结构以及装置相关的规则(UN规则)中的每个Regulation No.相关的系统的软件版本的标识符，相当于系统软件识别信息。软件的更新为法规要求的对象例如是指在更新对象ECU19包含发动机ECU等与行驶控制相关的ECU19的软件的更新。另一方面，软件的更新不为法规要求的对象是指在更新对象ECU19不包含与行驶控制相关的ECU19，而在更新对象ECU19仅包含例如导航ECU等不与行驶控制相关的ECU19的软件的更新。

在OTA服务的合同签订后，为CGW13能够与中心装置3建立通信连接的状况，所以能够在中心装置3中验证更新后的结构信息、更新后的RxSWIN是否正规。然而，在OTA服务的合同签订前，为CGW13不能够与中心装置3建立通信连接的状况，所以在通过有线更新软件的情况下，不能够在中心装置3中验证更新后的结构信息、更新后的RxSWIN是否正规。在本实施方式中，通过采用以下说明的构成，即使在OTA服务的合同签订前，在CGW13不能够与中心装置3建立通信连接的状况下通过有线更新了软件的情况下，也能够验证更新后的结构信息、更新后的RxSWIN是否正规。

如图4所示，CGW13在控制自己的动作的控制部34中，具备更新数据获取部34a、第一更新后结构信息获取部34b、软件更新部34c、第二更新后结构信息获取部34d、第一匹配性判定部34e、第一更新后RxSWIN获取部34f、RxSWIN保持部34g、第二更新后RxSWIN获取部34h、第二匹配性判定部34i、回滚实施部34j、以及显示控制部34k。第一更新后RxSWIN获取部34f相当于第一更新后系统软件识别信息获取部。RxSWIN保持部34g相当于系统软件识别信息保持部。第二更新后RxSWIN获取部34h相当于第二更新后系统软件识别信息获取部。这些各部34a～34k相当于通过更新后结构信息判定程序执行的功能。即，控制部34通过执行更新后结构信息判定程序进行各部34a～34k的功能。

在存储器24保存有更新数据以及更新后的结构信息。若工作人员在存储器24与有线工具23连接的状态下进行读入操作，则更新数据以及更新后的结构信息从存储器24转送并保存到有线工具23。其后，若工作人员在有线工具23经由DLC连接器22与CGW13有线连接的状态下进行转送操作，则保存于有线工具23的更新数据以及更新后的结构信息转送并保存到CGW13。此时，为有线工具23不能够与中心装置3建立通信连接的状况。即，有线工具23在不能够与中心装置3建立通信连接的状况下，将更新数据以及更新后的结构信息转送到CGW13。

从存储器24经由有线工具23转送并保存到CGW13的更新后的结构信息包含图5以及图6所示的构成要素。更新后的结构信息包含RxSWIN、表示包含更新对象ECU19和非更新对象ECU19的管理对象ECU19的目标ID、表示管理对象ECU19的硬件的版本的ECU硬件ID(ECU＿HW＿ID)、以及表示管理对象ECU19的软件的版本的ECU软件ID(ECU＿SW＿ID)。若软件的更新为法规要求的对象，则如图5所示，存在RxSWIN的数据。另一方面，若软件的更新为法规要求的对象外，不为法规要求的对象，则如图6所示，不存在RxSWIN的数据。

更新数据获取部34a随着工作人员通过有线工具23进行了转送操作，通过从有线工具23转送更新数据来获取该更新数据。

第一更新后结构信息获取部34b若随着工作人员通过有线工具23进行了转送操作，从有线工具23转送了更新后的结构信息，则获取该转送的更新后的结构信息作为第一更新后结构信息。

软件更新部34c将更新数据发送给更新对象ECU19，并对更新对象ECU19指示获取的该更新数据的安装，若在更新对象ECU19中更新数据的安装完成，则对更新对象ECU19指示激活，更新软件。

若在更新对象ECU19中软件的更新完成，则第二更新后结构信息获取部34d向作为管理对象的管理对象ECU19发送信息发送要求。管理对象ECU19包含更新对象ECU19、和不为软件的更新对象而为非更新对象且与更新对象ECU19协作地进行动作的非更新对象ECU19。即，非更新对象ECU19是可能受到更新对象ECU19的软件的更新影响的ECU19。该情况下，更新对象ECU19若从CGW13接收信息发送要求，则将更新后的结构信息发送给CGW13。非更新对象ECU19若从CGW13接收信息发送要求，则将在更新对象ECU19的软件的更新前后未变化的结构信息作为更新后的结构信息发送到CGW13。

第二更新后结构信息获取部34d若从管理对象ECU19接收更新后的结构信息，则获取接收的该更新后的结构信息作为第二更新后结构信息。从管理对象ECU19转送到CGW13的结构信息包含上述的目标ID、ECU硬件ID、ECU软件ID。第二更新后结构信息获取部34d在软件的更新后，在图7所示的结构信息中获取更新后的结构信息作为第二更新后结构信息。在图7中，例示ECU＿A的ECU＿SW＿ID从“SW＿A1”更新为“SW＿A2”，ECU＿B的ECU＿SW＿ID从“SW＿B1”更新为“SW＿B2”的情况。

第一匹配性判定部34e对第一更新后结构信息与第二更新后结构信息进行对照判定两者是否一致，来判定更新后结构信息的匹配性。该情况下，若正常地完成软件的更新，则第一更新后结构信息与第二更新后结构信息一致，若未正常地完成软件的更新，则第一更新后结构信息与第二更新后结构信息不一致。第一匹配性判定部34e若判定第一更新后结构信息与第二更新后结构信息的一致，则判定更新后结构信息的匹配正确，即更新后结构信息匹配。另一方面，第一匹配性判定部34e若判定第一更新后结构信息与第二更新后结构信息的不一致，则判定更新后结构信息的匹配不正确，即更新后结构信息不匹配。

第一更新后RxSWIN获取部34f在通过第一更新后结构信息获取部34b获取了更新后的结构信息作为第一更新后结构信息时，获取更新后的结构信息所包含的RxSWIN作为第一更新后RxSWIN。即，若软件的更新为法规要求的对象，则存在RxSWIN的数据，所以第一更新后RxSWIN获取部34f获取第一更新后RxSWIN。若软件的更新不为法规要求的对象，则不存在RxSWIN的数据，所以第一更新后RxSWIN获取部34f不获取第一更新后RxSWIN。

如图8所示，RxSWIN保持部34g保持RxSWIN，若软件的更新为法规要求的对象，则在软件的更新的前后更新自己保持的RxSWIN。例如在激活完成后保持于RxSWIN保持部34g的RxSWIN更新为由第一更新后RxSWIN获取部34f获取的RxSWIN。另一方面，若软件的更新不为法规要求的对象，则RxSWIN保持部34g在软件的更新的前后不更新自己保持的RxSWIN。在图8中，例示在软件的更新为法规要求的对象的情况下，RxSWIN从“01234”更新为“012345”的情况。

第二更新后RxSWIN获取部34h获取对保持于RxSWIN保持部34g的RxSWIN进行了更新后的RxSWIN作为第二更新后RxSWIN。即，若软件的更新为法规要求的对象，则在软件的更新的前后更新RxSWIN，所以第二更新后RxSWIN获取部34h获取第二更新后RxSWIN。若软件的更新不为法规要求的对象，则在软件的更新的前后不更新RxSWIN，所以第二更新后RxSWIN获取部34h不获取第二更新后RxSWIN。

第二匹配性判定部34i对第一更新后RxSWIN与第二更新后RxSWIN进行对照判定两者是否一致，来判定更新后RxSWIN的匹配性。该情况下，若软件的更新为法规要求的对象，且正常地完成软件的更新，则第一更新后RxSWIN与第二更新后RxSWIN一致，若未正常地完成软件的更新，则第一更新后RxSWIN与第二更新后RxSWIN不一致。第二匹配性判定部34i若判定第一更新后RxSWIN与第二更新后RxSWIN的一致，则判定更新后RxSWIN的匹配正确，即更新后RxSWIN匹配。另一方面，第二匹配性判定部34i若判定第一更新后RxSWIN与第二更新后RxSWIN的不一致，则判定更新后RxSWIN的匹配不正确，即更新后RxSWIN不匹配。

在软件的更新为法规要求的对象的情况下，若判定更新后RxSWIN以及更新后结构信息中至少任意一个的匹配不正确，判定软件的更新的异常完成，则回滚实施部34j实施使更新对象ECU19的软件返回更新前的回滚。在软件的更新不为法规要求的对象的情况下，若判定更新后结构信息的匹配不正确，判定软件的更新的异常完成，则回滚实施部34j实施使更新对象ECU19的软件返回更新前的回滚。该情况下，回滚实施部34j实施与搭载于更新对象ECU19的非易失性存储器的存储器构成对应的回滚。

在软件的更新为法规要求的对象的情况下，若判定更新后RxSWIN以及更新后结构信息双方的匹配正确，判定软件的更新的正常完成，则显示控制部34k向车载显示器7发送正常完成通知，使车载显示器7显示软件的更新正常完成。在软件的更新不为法规要求的对象的情况下，若判定更新后结构信息的匹配正确，判定软件的更新的正常完成，则显示控制部34k向车载显示器7发送正常完成通知，使车载显示器7显示软件的更新正常完成。

另外，在软件的更新为法规要求的对象的情况下，若判定更新后RxSWIN以及更新后结构信息中至少任意一个的匹配不正确，判定软件的更新的异常完成，则显示控制部34k向车载显示器7发送异常完成通知，使车载显示器7显示软件的更新未正常完成。在软件的更新不为法规要求的对象的情况下，若判定更新后结构信息的匹配不正确，判定软件的更新的异常完成，则显示控制部34k向车载显示器7发送异常完成通知，使车载显示器7显示软件的更新未正常完成。

接下来，参照图9～图13对上述的构成的作用进行说明。这里，以软件的更新为法规要求的对象，从存储器24向有线工具23转送并保存更新数据、更新后的结构信息以及更新后的RxSWIN为前提。

若工作人员通过有线工具23进行转送操作，则有线工具23经由DLC22将更新数据、更新后的结构信息以及更新后的RxSWIN转送到CGW13(t1)。在CGW13中，若从有线工具23经由DLC22转送了更新数据、更新后的结构信息以及更新后的RxSWIN，则控制部34保存该转送的更新数据，保存更新后的结构信息作为第一更新后结构信息，并保存更新后的RxSWIN作为第一更新后RxSWIN(S1，相当于更新数据获取步骤、第一更新后结构信息获取步骤、第一更新后系统软件识别信息获取步骤)。

若工作人员通过有线工具23进行软件更新操作，则有线工具23经由DLC22向CGW13转送更新执行指示(t2)。若从有线工具23经由DLC22转送了更新执行指示，则控制部34开始更新处理(S2，相当于软件更新步骤)。即，控制部34以能够指示安装的条件成立为条件，向更新对象ECU19发送更新数据，并向更新对象ECU19发送安装指示(t3)。更新对象ECU19若从CGW13接收安装指示，则以能够执行安装的条件成立为条件，执行更新数据的安装。更新对象ECU19若完成更新数据的安装，则向CGW13发送安装完成通知(t4)。

控制部34若从更新对象ECU19接收安装完成通知，则在更新对象ECU19中确定更新数据的安装完成，并以能够指示使更新完成后的软件有效的激活的条件成立为条件，向更新对象ECU19发送激活指示(t5)。更新对象ECU19若从CGW13接收激活指示，则以能够执行激活的条件成立为条件，执行激活。更新对象ECU19若完成激活，则向CGW13发送激活完成通知(t6)。此时，更新对象ECU19通过实施了更新处理而更新结构信息。

控制部34若从更新对象ECU19接收激活完成通知，则完成更新处理(S3)，更新自己保持的RxSWIN(S4)，并保存该更新后的RxSWIN作为第二更新后RxSWIN(S5，相当于第二更新后系统软件识别信息获取步骤)。

控制部34向作为HMI的车载显示器7发送批准显示指示(t7)。车载显示器7若从CGW13接收批准显示指示，则显示信息收集批准画面。信息收集批准画面是能够由工作人员选择是否批准更新后的结构信息的收集的画面。若工作人员在车载显示器7中进行许可批准的操作，则车载显示器7向CGW13发送批准许可(t8)。

控制部34若从车载显示器7接收批准许可，则确定信息收集的批准许可(S6)，并向管理对象ECU19发送信息收集指示(t9)。管理对象ECU19若从CGW13接收信息收集指示，则读出更新后的结构信息，并将该读出的更新后的结构信息发送到CGW13(t10)。

控制部34若从管理对象ECU19接收更新后的结构信息，则保存该接收的更新后的结构信息作为第二更新后结构信息(S7，相当于第二更新后结构信息获取步骤)。

控制部34对第一更新后RxSWIN与第二更新后RxSWIN进行对照(S8)，判定两者是否一致(S9，相当于第二匹配性判定步骤)。控制部34若判定为两者一致，判定为更新后RxSWIN匹配正确(S9：是)，则对第一更新后结构信息与第二更新后结构信息进行对照(S10)，判定两者是否一致(S11，相当于第一匹配性判定步骤)。控制部34若判定为两者一致，判定为更新后结构信息匹配正确(S11：是)，则确定软件的更新的正常完成(S12)，并向车载显示器7发送正常完成通知(t11)。车载显示器7若从CGW13接收正常完成通知，则显示软件的更新正常完成。

若具体地进行说明，则图5所示的ECU＿A、ECU＿B、ECU＿C分别与图9～图12所示的第一更新对象节点、第二更新对象节点、非更新对象节点对应。控制部34若判定为图5所示的软件的更新后的结构信息所包含的RxSWIN与图7所示的软件的更新后的RxSWIN一致，并判定为图5所示的软件的更新后的结构信息与图8所示的软件的更新后的结构信息一致，则确定软件的更新的正常完成。

另一方面，控制部34若判定为第一更新后RxSWIN与第二更新后RxSWIN不一致，判定为更新后RxSWIN匹配不正确(S9：否)，或者虽然判定为更新后RxSWIN匹配正确，但判定为第一更新后结构信息与第二更新后结构信息不一致，判定为更新后结构信息匹配不正确(S11：否)，则开始使更新对象ECU19的软件返回更新前的回滚处理(S13)。即，控制部34向更新对象ECU19发送回滚数据，并向更新对象ECU19发送安装指示(t14)。更新对象ECU19若从CGW13接收安装指示，则以能够执行安装的条件成立为条件，执行回滚数据的安装。更新对象ECU19若完成回滚数据的安装，则向CGW13发送安装完成通知(t13)。

控制部34若从更新对象ECU19接收安装完成通知，则在更新对象ECU19中确定回滚数据的安装完成，并以能够指示使更新完成后的软件有效的激活的条件成立为条件，向更新对象ECU19发送激活指示(t14)。更新对象ECU19若从CGW13接收激活指示，则以能够执行激活的条件成立为条件，执行激活。更新对象ECU19若完成激活，则向CGW13发送激活完成通知(t15)。

控制部34若从更新对象ECU19接收激活完成通知，则完成回滚处理(S14)，确定软件的更新的异常完成(S15)，并向车载显示器7发送异常完成通知(t16)。车载显示器7若从CGW13接收异常完成通知，则显示软件的更新未正常完成。

以上，在控制部34中，对软件的更新为法规要求的对象的情况进行了说明，但在软件的更新不为法规要求的对象的情况下、或者更新后的RxSWIN未从有线工具23经由DLC22转送到CGW13的情况下，省略上述的S4、S5、S8、S9，不更新自己保持的RxSWIN，也不对RxSWIN进行对照。

另外，虽然例示了在控制部34中，将批准显示指示发送到车载显示器7的构成，但也可以将批准显示指示发送到有线工具23，也可以构成为通过由工作人员在有线工具23中进行许可批准的操作，来从有线工具23接收批准许可。另外，也可以在控制部34中，将批准显示指示发送给车载显示器7和有线工具23双方，工作人员能够在车载显示器7和有线工具23的任何一个均进行许可批准的操作。并且，也可以能够由工作人员选择批准显示指示的发送目的地。

另外，虽然例示了在控制部34中，将正常完成通知、异常完成通知发送给车载显示器7的构成，但也可以将正常完成通知、异常完成通知发送给有线工具23，也可以将正常完成通知、异常完成通知发送给车载显示器7和有线工具23双方。并且，也可以能够由工作人员选择正常完成通知、异常完成通知的发送目的地。

另外，虽然例示了在控制部34中，先对第一更新后RxSWIN与第二更新后RxSWIN进行对照，并以更新后RxSWIN匹配正确为条件，对第一更新后结构信息与第二更新后结构信息进行对照的情况，但也可以先对第一更新后结构信息与第二更新后结构信息进行对照，并以更新后结构信息匹配正确为条件，对第一更新后RxSWIN与第二更新后RxSWIN进行对照。

另外，虽然例示了有线工具23将更新数据、更新后的结构信息以及更新后的RxSWIN同时转送到CGW13的情况，但也可以将更新数据转送到CGW13的时刻与将更新后的结构信息以及更新后的RxSWIN转送到CGW13的时刻不同。另外，虽然例示了作为转送到CGW13的更新后的结构信息的构成要素之一包含更新后的RxSWIN的方式，但也可以使更新后的RxSWIN与更新后的结构信息分开，也可以将更新后的RxSWIN转送到CGW13的时刻与将更新后的结构信息转送到CGW13的时刻不同。

如以上说明的那样根据本实施方式，能够得到以下所示的作用效果。

在CGW13中，对从有线工具23获取的第一更新后结构信息、和在对更新对象ECU19的软件进行了更新之后从包含更新对象ECU19的管理对象ECU19获取的第二更新后结构信息进行对照，判定更新后结构信息的匹配性。即使在OTA服务的合同签订前，不能够与中心装置建立通信连接的状况下，也能够适当地验证更新后结构信息是否正规，能够适当地确保安心安全。

在CGW13中，对从有线工具23获取的第一更新后RxSWIN、和在软件的更新后对自己保持的RxSWIN进行了更新的第二更新后RxSWIN进行对照，来判定更新后RxSWIN的匹配性。在软件的更新为法规要求的对象的情况下，能够更适当地确保安心安全。

在CGW13中，若判定为更新后RxSWIN匹配不正确，或者虽然判定为更新后RxSWIN匹配正确但判定为更新后结构信息匹配不正确，则实施回滚。通过实施回滚，能够使更新对象节点的软件返回到更新前的状态。

本公开虽然依据实施例进行了记述，但应该理解并不限定于该实施例、结构。本公开也包含各种变形例、同等范围内的变形。除此之外，也将各种组合、方式，甚至其中仅包含一个要素、更多或者更少要素的其它的组合、方式纳入本公开的范畴、思想范围。

也可以若从有线工具23经由DLC22转送了更新数据、更新后的结构信息以及更新后的RxSWIN，则控制部34判定是否在OTA服务的合同签订前，或者判定是否为能够与中心装置3建立通信连接的状况。即，也可以控制部34以判定为OTA服务的合同签订前，并且判定为不能够与中心装置3建立通信连接的状况为条件，进行上述的步骤S1以后。另外，也可以控制部34以虽然判定为OTA服务的合同签订后，但判定为不能够与中心装置3建立通信连接的状况为条件，进行上述的步骤S1以后。

也可以在OTA服务的合同签订后，为能够与中心装置3建立通信连接的状况的情况下，在中心装置3以及CGW13双方进行更新后结构信息的对照、更新后RxSWIN的对照。另外，例如也可以在能够与中心装置3建立通信连接的通常时通过中心装置3进行更新后结构信息的对照、更新后RxSWIN的对照，在不能够与中心装置3建立通信连接的紧急时通过CGW13进行更新后结构信息的对照、更新后RxSWIN的对照等，根据状况进行区分。

也可以由通过构成被编程为执行通过计算机程序具体化的一个或者多个功能的处理器以及存储器提供的专用计算机实现本公开所记载的控制部及其模式。或者，也可以由通过由一个以上的专用硬件逻辑电路构成处理器提供的专用计算机实现本公开所记载的控制部及其模式。或者，也可以由通过被编程为执行一个或者多个功能的处理器以及存储器与由一个以上的硬件逻辑电路构成的处理器的组合构成的一个以上的专用计算机实现本公开所记载的控制部及其模式。另外，计算机程序也可以作为能够通过计算机执行的指令，存储于计算机能够读取的非迁移有形记录介质。

Claims (12)

1.一种车辆用电子控制装置，具备：

更新数据获取部(34a)，通过有线通信从工作人员能够操作的有线工具获取更新数据；

第一更新后结构信息获取部(34b)，通过有线通信从上述有线工具获取更新后的结构信息作为第一更新后结构信息；

软件更新部(34c)，通过将上述更新数据写入更新对象节点来更新上述更新对象节点的软件；

第二更新后结构信息获取部(34d)，从包含上述更新对象节点的管理对象节点获取更新后的结构信息作为第二更新后结构信息；以及

第一匹配性判定部(34e)，对上述第一更新后结构信息与上述第二更新后结构信息进行对照来判定更新后结构信息的匹配性。

2.根据权利要求1所述的车辆用电子控制装置，其中，

上述结构信息包含上述管理对象节点的识别信息、上述管理对象节点的硬件的版本信息、以及上述管理对象节点的软件的版本信息。

3.根据权利要求1或者2所述的车辆用电子控制装置，其中，具备：

第一更新后系统软件识别信息获取部(34f)，通过有线通信从上述有线工具获取更新后的系统软件识别信息作为第一更新后系统软件识别信息；

系统软件识别信息保持部(30g)，保持系统软件识别信息；

第二更新后系统软件识别信息获取部(34h)，获取保持于上述系统软件识别信息保持部的系统软件识别信息在软件的更新后被更新的系统软件识别信息作为第二更新后系统软件识别信息；以及

第二匹配性判定部(34i)，对上述第一更新后系统软件识别信息与上述第二更新后系统软件识别信息进行对照来判定更新后系统软件识别信息的匹配性。

4.根据权利要求3所述的车辆用电子控制装置，其中，

上述系统软件识别信息被表示为RxSWIN。

5.根据权利要求1～4中任意一项所述的车辆用电子控制装置，其中，

具备回滚实施部(34j)，在由上述第一匹配性判定部判定为上述更新后结构信息的匹配不正确的情况下，上述回滚实施部实施使上述更新对象节点的软件返回到更新前的状态的回滚。

6.根据权利要求3或者4所述的车辆用电子控制装置，其中，

具备回滚实施部(34j)，在由上述第一匹配性判定部判定为上述更新后结构信息的匹配不正确的情况下、或者在由上述第二匹配性判定部判定为上述更新后系统软件识别信息的匹配不正确的情况下，上述回滚实施部实施使上述更新对象节点的软件返回到更新前的状态的回滚。

7.根据权利要求1～6中任意一项所述的车辆用电子控制装置，其中，

具备显示控制部(34k)，该显示控制部使显示终端以及上述有线工具中至少任意一个显示上述第一匹配性判定部的判定结果。

8.根据权利要求3、4以及6中任意一项所述的车辆用电子控制装置，其中，

具备显示控制部(34k)，该显示控制部使显示终端以及上述有线工具中至少任意一个显示上述第一匹配性判定部的判定结果以及上述第二匹配性判定部的判定结果中至少任意一个。

9.一种车辆用电子控制系统，具备：

有线工具(23)，能够由工作人员进行操作；以及

车辆用电子控制装置(13)，能够与上述有线工具有线连接，

上述车辆用电子控制装置具备：

更新数据获取部(34a)，通过有线通信从上述有线工具获取更新数据；

第一更新后结构信息获取部(34b)，通过有线通信从上述有线工具获取更新后的结构信息作为第一更新后结构信息；

软件更新部(34c)，通过将上述更新数据写入更新对象节点来更新上述更新对象节点的软件；

第二更新后结构信息获取部(34d)，从包含上述更新对象节点的管理对象节点获取更新后的结构信息作为第二更新后结构信息；以及

第一匹配性判定部(34e)，对上述第一更新后结构信息与上述第二更新后结构信息进行对照来判定更新后结构信息的匹配性。

10.根据权利要求9所述的车辆用电子控制系统，其中，

上述车辆用电子控制装置具备：

第一更新后系统软件识别信息获取部(34f)，通过有线通信从上述有线工具获取更新后的系统软件识别信息作为第一更新后系统软件识别信息；

系统软件识别信息保持部(30g)，保持系统软件识别信息；

第二更新后系统软件识别信息获取部(34h)，获取保持于上述系统软件识别信息保持部的系统软件识别信息在软件的更新后被更新的系统软件识别信息作为第二更新后系统软件识别信息；以及

第二匹配性判定部(34i)，对上述第一更新后系统软件识别信息与上述第二更新后系统软件识别信息进行对照来判定更新后系统软件识别信息的匹配性。

11.一种更新后结构信息判定程序，其中，

使车辆用电子控制装置(13)的控制部(34)执行：

更新数据获取步骤，通过有线通信从工作人员能够操作的有线工具获取更新数据；

第一更新后结构信息获取步骤，通过有线通信从上述有线工具获取更新后的结构信息作为第一更新后结构信息；

软件更新步骤，通过将上述更新数据写入更新对象节点来更新上述更新对象节点的软件；

第二更新后结构信息获取步骤，从包含上述更新对象节点的管理对象节点获取更新后的结构信息作为第二更新后结构信息；以及

第一匹配性判定步骤，对上述第一更新后结构信息与上述第二更新后结构信息进行对照来判定更新后结构信息的匹配性。

12.根据权利要求11所述的更新后结构信息判定程序，其中，使上述控制部执行：

第一更新后系统软件识别信息获取步骤，通过有线通信从上述有线工具获取更新后的系统软件识别信息作为第一更新后系统软件识别信息；

第二更新后系统软件识别信息获取步骤，获取在软件的更新后对保持的系统软件识别信息进行更新后的系统软件识别信息作为第二更新后系统软件识别信息；以及

第二匹配性判定步骤，对上述第一更新后系统软件识别信息与上述第二更新后系统软件识别信息进行对照来判定更新后系统软件识别信息的匹配性。