CN117396842A - 车辆用电子控制装置以及更新程序 - Google Patents

Abstract

本发明的车辆用电子控制装置(13)搭载于能够切换能够对车辆蓄电池进行充电的可充电状态和不能够充电的不可充电状态的车辆，以从车辆蓄电池供给的电力作为动作电力进行动作。车辆用电子控制装置具备：激活批准执行部(40b)，在更新对象节点中完成写入更新数据并生成更新后的软件的安装处理后，进行对用户询问是否批准使更新后的软件有效的激活处理的激活批准；以及切换指示发送部(40g)，以确定了激活的批准许可为条件，将指示执行激活处理的切换指示发送至更新对象节点。激活批准执行部在可充电状态中进行激活批准。

Description

车辆用电子控制装置以及更新程序

相关申请的交叉引用

本申请基于2021年5月24日申请的日本申请编号2021－086936号，并在此引用其记载内容。

技术领域

本公开涉及车辆用电子控制装置以及更新程序。

背景技术

近年，随着驾驶辅助功能、自动驾驶功能等车辆控制的多样化，包含搭载于车辆的电子控制装置(以下，称为ECU(Electronic Control Unit：电子控制单元))等节点的车辆控制、诊断等程序、数据的软件的规模增大。另外，随着功能改善等所带来的版本升级，更新(重编)节点的动作所需的软件机会也增加。另一方面，随着通信网络的发展等，联网汽车的技术也普及。由于这样的情况，提出了以下技术(例如参照专利文献1)：在车辆侧设置作为网关ECU发挥功能的车辆用电子控制装置，在车辆用电子控制装置中，将从中心装置下载的更新数据分发给更新对象节点，通过OTA(Over The Air：空中下载)对更新对象节点的软件进行更新。

专利文献1：日本特开2020－27627号公报

车辆用电子控制装置在将写入更新数据的安装指示发送至更新对象节点后，当从更新对象节点接收表示安装处理完成的安装完成通知时，在从点火开关(以下，称为IG)接通切换至IG断开后，进行对用户询问是否批准激活处理的激活批准。之后，车辆用电子控制装置若确定来自用户的激活的批准许可，则将指示执行激活处理的切换指示发送至更新对象节点。更新对象节点若从车辆用电子控制装置接收切换指示，则进行使更新后的软件有效的激活处理。车辆用电子控制装置若从更新对象节点接收表示激活处理完成的激活完成通知，则进行系统匹配性检查处理，若匹配结果不正确，则进行将切换指示再次发送至更新对象节点的重试处理，或进行将更新对象节点的软件返回至安装处理前的状态的回滚处理。

然而，在如上述那样在从IG接通切换至IG断开后，即在IG断开的状态下进行激活批准的结构中，车辆蓄电池的功耗可能增大。

发明内容

本公开的目的在于，抑制车辆蓄电池的功耗，并且确保安全可靠的软件的更新。

根据本公开的一方式，激活批准执行部在更新对象节点中完成安装处理后，进行对用户询问是否批准激活处理的激活批准，上述安装处理是写入更新数据并生成更新后的软件的处理，上述激活处理是使更新后的软件有效的处理。切换指示发送部以确定了激活的批准许可为条件，将指示执行激活处理的切换指示发送至更新对象节点。激活批准执行部在车辆状态为能够对车辆蓄电池充电的可充电状态中进行激活批准。

通过在车辆状态为能够对车辆蓄电池充电的可充电状态中进行激活批准，从而与在IG断开的状态下进行激活批准的以往方式不同，能够抑制车辆蓄电池的功耗，并且确保安全可靠的软件的更新。

附图说明

通过参照附图并且下述的详细的描述，本公开的上述目的以及其它的目的、特征、优点变得更加明确。该附图是：

图1是表示一实施方式的整体结构的图。

图2是表示CGW的电气结构的图。

图3是表示ECU的电气结构的图。

图4是CGW的功能框图。

图5是激活处理指示部的功能框图。

图6是系统匹配检查处理执行部的功能框图。

图7是表示处理的流程的图(其一)。

图8是表示处理的流程的图(其二)。

图9是表示处理的流程的图(其三)。

图10是表示处理的流程的图(其四)。

图11是表示处理的流程的图(其五)。

图12是流程图(其一)。

图13是流程图(其二)。

图14是流程图(其三)。

图15是流程图(其四)。

图16是概略性地表示处理的流程的图(其一)。

图17是概略性地表示处理的流程的图(其二)。

具体实施方式

以下，参照附图，对一实施方式进行说明。在本实施方式中，以搭载于搭载有作为内燃机的发动机的汽车的车辆用电子控制系统为对象，以作为发动机的驱动状态的IG接通是能够对车辆蓄电池充电的可充电状态，作为发动机的停止状态的IG断开是不能够对车辆蓄电池充电的不可充电状态的结构为前提进行说明。若是能够切换能够对车辆蓄电池充电的可充电状态和不能够充电的不可充电状态的车辆，则也可以以搭载于不搭载发动机而通过电动机进行行驶的电动汽车的车辆用电子控制系统为对象。

车辆用电子控制系统是能够通过OTA(Over The Air)更新搭载于电子控制装置(以下，称为ECU(Electronic Control Unit))的车辆控制、诊断等软件的系统。软件包含用于实现车辆控制、诊断等功能的程序、数据，也能够表现为应用程序。在本实施方式中，对更新车辆控制、诊断等软件的情况进行说明，但例如也能够应用于更新地图应用、该地图应用所使用的地图数据等的情况。

如图1所示，车辆用电子控制系统1具有通信网络2侧的中心装置3、和车辆侧的车辆侧系统4以及显示终端5。通信网络2例如构成为包含基于4G线路等的移动体通信网络、因特网、WiFi(Wireless Fidelity：无线保真)(注册商标)等。

作为HMI(Human Machine Interface：人机接口)的显示终端5是具有受理来自用户的操作输入的功能、显示各种画面的功能的终端，例如是用户可携带的智能手机、平板电脑等移动终端6、配置于车厢内的车载显示器7。移动终端6若在移动体通信网络的通信范围内，则能够经由通信网络2与中心装置3进行数据通信。车载显示器7也可以是连接于车辆侧系统4，兼具导航功能的结构。另外，车载显示器7也可以是具有ECU的功能的车载显示器ECU，也可以具有控制向中心显示器、仪表显示器等的显示的功能。

用户若在车厢外且在移动体通信网络的通信范围内，则能够通过移动终端6一边确认与软件的更新相关的各种画面一边进行操作输入，进行与软件的更新相关的手续。用户在车厢内，能够通过车载显示器7一边确认与软件的更新相关的各种画面一边进行操作输入，进行与软件的更新相关的手续。即，用户能够在车厢外和车厢内分开使用移动终端6和车载显示器7，来进行与软件的更新相关的手续。

中心装置3在车辆用电子控制系统1中总括通信网络2侧的软件的更新功能，作为提供OTA服务的OTA中心发挥功能。中心装置3构成为具有文件服务器8、网络服务器9、以及管理服务器10，各服务器8～10能够相互进行数据通信。即，中心装置3构成为包含按功能不同的多个服务器。中心装置3也可以由单个服务器构成。

文件服务器8是管理从中心装置3分发至车辆侧系统4的软件的文件的服务器。文件服务器8管理由从中心装置3分发至车辆侧系统4的软件的提供企业亦即供应商等提供的更新数据、从OEM(Original Equipment Manufacturer：原始设备制造商)提供的规格数据、从车辆侧系统4获取的车辆状态等。

文件服务器8能够经由通信网络2在与车辆侧系统4之间进行数据通信，将活动信息发送至车辆侧系统4，将规格数据发送至车辆侧系统4。另外，文件服务器8若从车辆侧系统4接收数据包数据的下载请求，则向车辆侧系统4发送将更新数据打包而成的数据包数据。数据包数据包含被压缩的zip格式的文件。另外，文件服务器8也可以通过向车辆侧系统4发送将规格数据和更新数据打包而成的数据包数据，来将规格数据和更新数据同时发送至车辆侧系统4。

网络服务器9是管理网页信息的服务器。网络服务器9根据来自移动终端6等具有的网页浏览器的请求来发送自身管理的网页数据。管理服务器10是管理登记至软件的更新的服务的用户的个人信息、每个车辆的软件的更新履历等的服务器。

车辆侧系统4具有车辆用主机装置11。车辆用主机装置11在车辆用电子控制系统1中总括车辆侧的软件的更新功能，作为OTA主机发挥功能。车辆用主机装置11具有DCM(DataCommunication Module：数据通信模块)12和CGW(Central Gate Way：中央网关)13。

DCM12经由通信网络2在与中心装置3之间进行数据通信，相当于下载处理执行部。CGW13作为网关ECU发挥功能，相当于车辆用电子控制装置。DCM12与CGW13经由第一总线14连接为能够进行数据通信。在图1中，例示了DCM12和车载显示器7连接于同一第一总线14的结构，但也可以是DCM12和车载显示器7连接于不同的总线的结构。另外，也可以是CGW13具有DCM12的功能的一部分或者整体的结构，也可以是DCM12具有CGW13的功能的一部分或者整体的结构。即，在车辆用主机装置11中，DCM12和CGW13的功能分担也可以任意地构成。车辆用主机装置11既可以由DCM12以及CGW13的两个ECU构成，也可以由具有DCM12的功能和CGW13的功能的一个综合ECU构成。

在CGW13中，除了第一总线14以外，还连接有第二总线15、第三总线16、第四总线17、以及第五总线18作为车内侧的总线，经由总线15～17连接有各种ECU19，并且经由总线18连接有电源管理ECU20。ECU19相当于节点。

第二总线15例如是多媒体系统的总线，连接有进行多媒体系统的控制的ECU19。第三总线16例如是用于驾驶辅助、自动驾驶的ADAS(Advanced Driver-Assistance Systems：高级驾驶辅助系统)系统的总线，连接有进行ADAS系统的控制的ECU19。第四总线17例如是用于车辆行驶的驱动系统的总线，连接有进行驱动系统的控制的ECU19。也可以总线15～17是多媒体系统的总线、ADAS系统的总线、驱动系统的总线以外的系统的总线。另外，总线的根数、ECU19的个数不限于例示的结构。电源管理ECU20是管理向DCM12、CGW13、各种ECU19等供给的电源的ECU。

在CGW13中，连接有第六总线21作为车外侧的总线。在第六总线21，连接有供作为服务工具发挥功能的工具23以能够装卸的方式连接的DLC(Data Link Coupler：数据链路耦合器)连接器22。车内侧的总线14～18以及车外侧的总线21例如由CAN(Controller AreaNetwork：控制器局域网，注册商标)总线构成，CGW13根据CAN的数据通信标准、诊断通信标准(UDS(Unified Diagnosis Services：统一诊断服务)：ISO14229)在与DCM12、各种ECU19、工具23之间进行数据通信。另外，DCM12与CGW13也可以通过以太网连接，DLC连接器22与CGW13也可以通过以太网连接。

CGW13以从车辆蓄电池24供给的电力作为动作电力来进行动作。车辆蓄电池24能够在IG接通的状态下通过被供给由发动机的交流发电机发电的电力来充电。即，IG接通的状态是车辆状态为能够对车辆蓄电池24充电的可充电状态中，IG断开的状态是车辆状态为不能够对车辆蓄电池24充电的不可充电状态。

CGW13以能够下载数据包数据的条件成立为条件，将数据包数据的下载请求经由DCM12发送至中心装置3。能够下载数据包数据的条件是得到下载的批准、CGW13能够经由DCM12与中心装置3进行数据通信、DCM12的存储装置的空闲容量为规定容量以上、车载蓄电池的剩余容量为规定容量以上等。CGW13若从中心装置3经由DCM12下载数据包数据，则从该已下载的数据包数据获取更新数据。

CGW13以能够指示写入更新数据的安装的条件成立为条件，向软件的更新对象ECU19指示该获取的更新数据的安装。能够指示安装的条件是得到安装的批准、车辆状态为能够安装的状态、更新对象ECU19为能够安装的状态、更新数据为正常的数据、车载蓄电池的剩余容量为规定容量以上等。若从CGW13指示了更新数据的安装，则更新对象ECU19执行更新数据的安装。

若在更新对象ECU19中更新数据的安装完成，则CGW13以能够指示使安装完成后的软件有效的激活的条件成立为条件，向更新对象ECU19指示激活。能够指示激活的条件是得到激活的批准、车辆状态为能够激活的状态、更新对象ECU19为能够激活的状态、车载蓄电池的剩余容量为规定容量以上等。若从CGW13指示了激活，则更新对象ECU19执行激活。

如图2所示，CGW13具有微型计算机(以下，称为微机)25、存储装置26、数据转送电路27、电源电路28、以及电源检测电路29，作为电气功能模块。微机25具有CPU(CentralProcessing Unit：中央处理器)25a、ROM(Read Only Memory：只读存储器)25b、RAM(RandomAccess Memory：随机存取存储器)25c、以及闪存25d。在闪存25d中，包含无法从CGW13的外部读出信息的安全区域。微机25执行储存于非迁移实体存储介质的各种控制程序来进行各种处理，控制CGW13的动作。在本实施方式中，例示了在CGW13搭载有一个微机25的结构，但搭载于CGW13的微机的个数、规格、组合根据对CGW13要求的处理能力来决定。即，若是对CGW13要求相对较高的处理能力的情况，则采用相对较高的规格的微机，或为了实现分散处理、并列处理而采用多个微机。

存储装置26例如是eMMC(embedded Multi Media Card：嵌入式多媒体卡)、NorFlash。数据转送电路27控制与总线14～18、21之间的依据CAN的数据通信标准、诊断通信标准的数据通信。电源电路28输入蓄电池电源、附件(以下，称为ACC)电源、IG电源。电源检测电路29检测电源电路28输入的蓄电池电源的电压值、ACC电源的电压值、IG电源的电压值，将这些检测到的电压值与规定的电压阈值进行比较，并将其比较结果输出至微机25～26。微机25～26根据从电源检测电路29输入的比较结果，判定从车辆蓄电池24供给至CGW13的蓄电池电源、ACC电源、IG电源正常还是异常。

如图3所示，ECU19具有微机30、数据转送电路31、电源电路32、以及电源检测电路33作为电气功能模块。微机30具有CPU30a、ROM30b、RAM30c、以及闪存30d。在闪存30d中，包含无法从ECU19的外部读出信息的安全区域。微机30执行储存于非迁移实体存储介质的各种控制程序来进行各种处理，控制ECU19的动作。

数据转送电路31控制与总线15～17之间的依据CAN的数据通信标准的数据通信。电源电路32输入蓄电池电源、ACC电源、IG电源。电源检测电路33检测电源电路32输入的蓄电池电源的电压值、ACC电源的电压值、IG电源的电压值，将这些检测到的电压值与规定的电压阈值进行比较，并将其比较结果输出至微机30。微机30根据从电源检测电路27输入的比较结果，判定从车辆蓄电池24供给至ECU19的蓄电池电源、ACC电源、IG电源正常还是异常。另外，ECU19自身连接的连接对象的例如传感器、致动器等负载不同，基本上为同等的结构。

接下来，对ECU19的存储器结构进行说明。作为搭载于ECU19的闪存30d的种类，存在单面存储器、伪双面存储器、双面存储器、外置存储器。单面存储器是在一面具有闪存面的结构，没有运用面以及非运用面的概念，在执行软件中无法更新该执行中的软件。搭载单面存储器的ECU(以下，称为单面存储器ECU)19在IG断开的状态下进行安装处理以及激活处理。伪双面存储器是在伪两面具有闪存面的结构，存在运用面以及非运用面的概念，虽然在执行运用面的软件中能够更新非运用面的软件，但在可正常地进行读出、写入的定时上存在制约。搭载伪双面存储器的ECU(以下，称为伪双面存储器ECU)19在IG断开的状态下进行安装处理以及激活处理。

双面存储器是实质上在两面具有闪存面的结构，存在运用面以及非运用面的概念，能够在执行运用面的软件中更新非运用面的软件，在可正常地进行读出、写入的定时上不存在制约。搭载双面存储器的ECU(以下，称为双面存储器ECU)19能够在IG接通的状态下进行安装处理，在IG断开的状态下进行激活处理。外置存储器是在一面具有闪存面的结构，不存在运用面以及非运用面的概念，但通过将储存于闪存面的软件复制至外置存储器，能够将外置存储器用作软件的暂时的保存区域。搭载外置存储器的ECU(以下，称为外置存储器ECU)19在IG断开的状态下进行安装处理以及激活处理。

如图4所示，CGW13具有控制部34、下载器35、活动信息存储部36、车辆结构信息存储部37、IG断开前后更新标志存储部38、以及试制量产标志存储部39，作为每个功能的结构。控制部34具有激活处理指示部40、系统匹配检查处理执行部41、以及回滚处理执行部42。

如图5所示，激活处理指示部40具有车辆状态判定部40a、激活批准执行部40b、存储器结构确定部40c、复制指示发送部40d、切换设定指示发送部40e、下车条件成立判定部40f、切换指示发送部40g、以及操作延迟请求部40h。如图6所示，系统匹配检查处理执行部41具有车辆结构信息获取部41a和匹配性判定部41b。各部40～42、40a～40h、41a～41b相当于由更新程序执行的功能。即，控制部34执行更新程序，进行各部40～42、40a～40h、41a～41b的功能。

下载器35以从控制部34接收下载执行请求作为契机，对DCM12指示执行下载处理。活动信息存储部36存储从中心装置3经由DCM12下载至CGW13的活动信息。在活动信息中包含更新后的车辆结构信息。在更新后的车辆结构信息中，包含能够确定管理对象ECU19的目标ID、更新后的硬件的版本、更新后的软件的版本等，管理对象ECU19包含更新对象ECU19、和与该更新对象ECU19协作地动作的非更新对象ECU19。

车辆结构信息存储部37存储从管理对象ECU19获取的车辆结构信息。在车辆结构信息中，包含能够确定管理对象ECU19的目标ID、更新前的硬件的版本、更新前的软件的版本、更新后的硬件的版本、更新后的软件的版本等。

IG断开前后更新标志存储部38存储IG断开前更新标志以及IG断开后更新标志。IG断开前更新标志以及IG断开后更新标志被择一地设定，并按每个ECU19存储。IG断开前更新标志是许可IG接通下的激活处理的执行的标志，例如对更新多媒体系统等不影响车辆行驶控制的软件的ECU19设定IG断开前更新标志。IG断开后更新标志是禁止IG接通下的激活处理的执行的标志，例如对更新ADAS系统、驱动系统等影响车辆行驶控制的软件的ECU19设定IG断开后更新标志。

试制量产标志存储部39存储试制标志以及量产标志。试制标志以及量产标志被择一地设定。试制标志是搭载了车辆用电子控制系统1的车辆出厂前的试制时设定的标志，相当于第一标志。量产标志是搭载了车辆用电子控制系统1的车辆出厂后的量产时设定的标志，相当于第二标志。在设定有试制标志的状态下，能够以认证成立为条件，进行从试制标志向量产标志的设定变更。另外，无法进行从量产标志向试制标志的设定变更。

车辆状态判定部40a例如基于车速信息、驾驶员状态监视器信息等判定车辆状态。激活批准执行部40b在更新对象ECU19中已完成安装处理的状态下，以由车辆状态判定部40a判定为是不阻碍驾驶操作的车辆状态为条件，进行对用户询问是否批准激活处理的激活批准。具体而言，激活批准执行部40b例如在车速为“0km/h”且制动器为工作中的车辆停止中，将激活批准请求发送至车载显示器7，使车载显示器7显示能够选择是否批准激活处理的激活批准画面，从而对用户询问是否批准激活处理。

存储器结构确定部40c基于规格数据确定更新对象ECU19的存储器结构，确定搭载于更新对象ECU19的闪存30d是单面存储器、伪双面存储器、双面存储器、外置存储器的哪一个。

若更新对象ECU19为外置存储器ECU19，则复制指示发送部40d将指示执行储存于存储器区域的软件向外置存储器的复制处理的复制指示发送至更新对象ECU19。

切换设定指示发送部40e将在下一次从IG接通切换至IG断开的定时指示执行激活处理的切换设定指示发送至更新对象ECU19。

下车条件成立判定部40f判定用户下车的下车条件的成立。例如当确定车速为“0km/h”、车辆位置为停车场内、自家、停车制动器已工作、安全带的佩戴被解除等时，下车条件成立判定部40f预测用户在进行了从IG接通向IG断开的切换操作后下车，判定为下车条件成立。

切换指示发送部40g将切换指示发送至更新对象ECU19。切换指示发送部40g参照上述的IG断开前后更新标志存储部38，判定对更新对象ECU19设定有IG断开前更新标志以及IG断开后更新标志的哪一个。在对更新对象ECU19设定有IG断开前更新标志，更新不影响车辆行驶控制的软件的情况下，若由下车条件成立判定部40f判定为下车条件成立，则切换指示发送部40g将切换指示发送至该更新对象ECU19。

在对更新对象ECU19设定有IG断开前更新标志，更新不影响车辆行驶控制的软件的情况下，若由下车条件成立判定部40f判定为下车条件成立时，则操作延迟请求部40h将操作延迟显示请求发送至车载显示器7，使车载显示器7显示请求从IG接通向IG断开的切换操作的延迟的操作延迟请求画面，从而对用户请求从IG接通向IG断开的切换操作的延迟。

车辆结构信息获取部41a从管理对象ECU19获取更新前的车辆结构信息以及更新后的车辆结构信息，将该获取的更新前的车辆结构信息以及更新后的车辆结构信息存储于上述的车辆结构信息存储部37。

匹配性判定部41b参照车辆结构信息存储部37以及活动信息存储部36，对从管理对象ECU19获取的更新后的车辆结构信息与从中心装置3下载的活动信息中包含的更新后的车辆结构信息进行对照，判定车辆结构信息的匹配性。匹配性判定部41b若判定为两者一致，则判定车辆结构信息的匹配正确，若判定为两者不一致，则判定车辆结构信息的匹配不正确。

另外，匹配性判定部41b对从管理对象ECU19获取的更新后的车辆结构信息与更新前的车辆结构信息进行对照，判定车辆结构信息的匹配性。匹配性判定部41b若判定为从管理对象ECU19获取的更新后的车辆结构信息的版本从更新前的车辆结构信息的版本增加，则判定车辆结构信息的匹配正确，若判定为未增加，则判定车辆结构信息的匹配不正确。另外，车辆结构信息的版本增加意味着版本升级、版本编号的增加。

若由匹配性判定部41b判定为车辆结构信息的匹配不正确，则上述的切换指示发送部40g进行将切换指示再次发送至更新对象ECU19的重试处理。

若由匹配性判定部41b判定为车辆结构信息的匹配不正确，则回滚处理执行部42进行将更新对象ECU19的软件返回至安装处理前的状态的回滚处理。在该情况下，对回滚处理执行部42而言，也可以不由切换指示发送部40g进行重试处理就进行回滚处理，也可以在切换指示发送部40g进行了重试处理但依然由匹配性判定部41b判定为车辆结构信息的匹配不正确时，进行回滚处理。另外，回滚处理执行部42参照试制量产标志存储部39，以设定了量产标志为条件，进行回滚处理。进一步地，回滚处理执行部42以是从更新对象ECU19中的激活处理完成后起的规定期间内，且是回滚可执行期间内为条件，进行回滚处理。

接下来，参照图7至图17，对上述结构的作用进行说明。另外，在图7至图11中，第一更新对象ECU19是为外置存储器的存储器结构，且设定有IG断开后更新标志的ECU19。第二更新对象ECU19是为外置存储器以外的存储器结构，且设定有IG断开后更新标志的ECU19。第三更新对象ECU19是为外置存储器的存储器结构，且设定有IG断开前更新标志的ECU。第四更新对象ECU19是为外置存储器以外的存储器结构，且设定有IG断开前更新标志的ECU。

在CGW13中，例如若在更新对象ECU19中通过完成安装处理而产生激活批准请求向车载显示器7的发送请求，则控制部34确认车辆状态(A1)，判定是否为不阻碍驾驶操作的车辆状态(A2)。

控制部34例如当车速为“0km/h”且制动器为工作中，而判定为是不阻碍驾驶操作的车辆状态时(A2：“是”)，将激活批准请求发送至车载显示器7(A3、t1，相当于激活批准执行步骤)，等待来自车载显示器7的批准结果的接收(A4)。制动器为工作中例如也包含换挡位置处于P挡的状态。车载显示器7若从CGW13接收激活批准请求，则显示能够选择是否批准激活处理的激活批准画面(B1)，对用户询问是否批准激活处理。当用户许可激活批准时，车载显示器7将批准许可作为批准结果发送至CGW13(t2)。另外，在本实施方式中，无论更新对象ECU19是哪种存储器结构，都在IG接通状态时进行激活批准请求和批准确认。即，即使在更新对象ECU19为外置存储器ECU、单面存储器ECU的情况下，也在IG接通状态时进行激活批准请求和批准确认。

控制部34若判定为从车载显示器7接收到批准结果(A4：“是”)，则判定该批准结果是否是批准许可(A5)，若判定为该批准结果是批准许可(A5：“是”)，则基于规格数据确定更新对象ECU19的存储器结构(A6)。控制部34判定在更新对象ECU19中是否包含有外置存储器ECU19(A7)。

控制部34若判定为在更新对象ECU19中包含有外置存储器ECU19时(A7：“是”)，则将指示执行储存于存储器区域的软件向外置存储器的复制处理的复制指示发送至该作为外置存储器ECU19的更新对象ECU19(A8、t3)，等待来自作为外置存储器ECU19的更新对象ECU19的ACK的接收(A9)。作为外置存储器ECU19的更新对象ECU19若从CGW13接收复制指示，则进行储存于存储器区域的软件向外置存储器的复制处理(C1、E1)，将ACK返回给CGW13(t4)。

控制部34若判定为从作为外置存储器ECU19的更新对象ECU19接收到ACK(A9：“是”)，则参照IG断开前后更新标志存储部38(A10)，判定是否存在设定有IG断开后更新标志的更新对象ECU19(A11)。控制部34若判定为存在设定有IG断开后更新标志的更新对象ECU19(A11：“是”)，则将在下一次从IG接通切换至IG断开的定时指示执行激活处理的切换设定指示发送至该设定有IG断开后更新标志的更新对象ECU19(A12、t5)，等待来自设定有IG断开后更新标志的更新对象ECU19的ACK的接收(A13)。设定有IG断开后更新标志的更新对象ECU19若从CGW13接收切换设定指示，则进行切换设定以便在下一次从IG接通切换至IG断开的定时执行激活处理(C2、D1)，将ACK返回给CGW13(t6)。

控制部34若判定为从设定有IG断开后更新标志的更新对象ECU19接收到ACK(A13：“是”)，则判定是否存在设定有IG断开前更新标志的更新对象ECU19(A14)。控制部34若判定为存在设定有IG断开前更新标志的更新对象ECU19(A14：“是”)，则判定用户下车的下车条件的成立(A15)。

控制部34若判定为下车条件成立(A15：“是”)，则将操作延迟显示请求发送至车载显示器7(A16、t7)，等待来自车载显示器7的ACK的接收(A17)。车载显示器7若从CGW13接收操作延迟显示请求，则显示操作延迟请求画面(B2)，将ACK返回给CGW13(t8)。

控制部34若判定为从车载显示器7接收到ACK(A17：“是”)，则将切换指示发送至该设定有IG断开前更新标志的更新对象ECU19(A18、t9)，等待来自设定有IG断开前更新标志的更新对象ECU19的ACK的接收(A19)。设定有IG断开前更新标志的更新对象ECU19若从CGW13接收切换指示，则执行激活处理(E2、F1)，将ACK发送至CGW13(t10)。控制部34若判定为从设定有IG断开前更新标志的更新对象ECU19接收到ACK(A19：“是”)，则等待从IG接通向IG断开的切换(A20)。

这里，若进行了从IG接通向IG断开的切换操作，从IG接通切换至IG断开，则由于设定有IG断开后更新标志的更新对象ECU19如上述那样先前已从CGW13接收切换设定指示，因此以从IG接通切换至IG断开作为契机执行激活处理(C3、D2)。

控制部34若判定为从IG接通切换至IG断开(A20：“是”)，则将车辆结构信息请求发送至管理对象ECU19(A21)，判定是否从管理对象ECU19接收到更新后的车辆结构信息(A22)，并且判定由从IG接通向IG断开的切换起是否已经过一定时间(A23)。

控制部34若在由从IG接通向IG断开的切换起经过一定时间前，判定为从管理对象ECU19接收到更新后的车辆结构信息(A22：“是”)，则将从管理对象ECU19接收到的更新后的车辆结构信息与活动信息中包含的更新后的车辆结构信息进行对照(A24)，判定车辆结构信息的匹配性(A25)。若两者一致而判定为车辆结构信息的匹配正确(A25：“是”)，则控制部34参照试制量产标志存储部39(A26)，判定是否设定有量产标志(A27)。

若判定为设定有量产标志(A27：“是”)，则控制部34将从管理对象ECU19接收到的更新后的车辆结构信息与更新前的车辆结构信息进行对照(A28)，判定车辆结构信息的匹配性(A29)。若从管理对象ECU19接收到的更新后的车辆结构信息的版本从更新前的车辆结构信息的版本增加，而判定车辆结构信息的匹配正确(A29：“是”)，则控制部34将睡眠指示发送至管理对象ECU19(A30、t13)。管理对象ECU19若从CGW13接收睡眠指示，则从唤醒状态移至睡眠状态(C4、D3、E3、F2)。

另一方面，控制部34若在从管理对象ECU19接收更新后的车辆结构信息前，判定为由从IG接通向IG断开的切换起已经过一定时间(A23：“是”)、或者从管理对象ECU19接收到的更新后的车辆结构信息与活动信息中包含的更新后的车辆结构信息不一致、或者从管理对象ECU19接收到的更新后的车辆结构信息的版本未从更新前的车辆结构信息的版本增加，而判定为车辆结构信息的匹配不正确(A25：“否”，或者A29：“否”)，则执行将切换指示再次发送至更新对象ECU19的重试处理(A31)。

控制部34若执行了重试处理，则如上述那样将从管理对象ECU19接收到的更新后的车辆结构信息与活动信息中包含的更新后的车辆结构信息进行对照，并进一步与更新前的车辆结构信息进行对照，再次判定车辆结构信息的匹配性(A32)。控制部34若判定车辆结构信息的匹配正确(A32：“是”)，则将睡眠指示发送至管理对象ECU19(A30、t13)。

另一方面，控制部34若判定车辆结构信息的匹配不正确(A32：“否”)，且判定为重试处理的执行次数超过规定次数，则判定是否是从激活处理的完成后起的规定期间内，并判定是否是回滚的可执行期间内(A33)。控制部34若判定为是从激活处理的完成后起的规定期间内，且判定为是回滚的可执行期间内(A33：“是”)，则执行回滚处理(A34)。

控制部34若执行了回滚处理，则判定是否正常完成了回滚处理(A35)，若判定为正常完成了回滚处理(A35：“是”)，则将睡眠指示发送至管理对象ECU19(A30、t13)。另一方面，控制部34若判定为未正常完成回滚处理(A35：“否”)，则进行错误处理(A36)，将睡眠指示发送至管理对象ECU19(A30、t13)。

这样，在本实施方式中，与图16所示那样的在IG断开后进行激活批准的以往方式不同，如图17所示，通过在IG断开前进行激活批准，能够在能够对车辆蓄电池24充电的IG接通的状态下进行激活批准，能够抑制车辆蓄电池24的功耗。

如以上说明的那样，根据实施方式，能够得到以下所示的作用效果。

在CGW13中，在车辆状态为能够对车辆蓄电池24充电的IG接通的状态下进行激活批准。与在IG断开的状态下进行激活批准的以往方式不同，通过在IG接通的状态下进行激活批准，能够抑制车辆蓄电池24的功耗，并且确保安全可靠的软件的更新。

在CGW13中，在IG接通的状态下将切换设定指示发送至更新对象ECU19。能够以从IG接通切换至IG断开作为契机，在更新对象ECU19中使激活处理迅速地进行。

在CGW13中，例如以判定为是车辆为停止中等不阻碍驾驶操作的车辆状态为条件，在IG接通的状态下进行激活批准。能够在安全可靠的环境中使用户进行激活批准。

在CGW13中，若在更新对象ECU19中包含外置存储器ECU19，则在IG接通的状态下将复制指示发送至该作为外置存储器ECU19的更新对象ECU19。通过在IG接通的状态下在外置存储器ECU19中进行储存于存储器区域的软件向外置存储器的复制处理，能够进一步抑制车辆蓄电池24的功耗。

在CGW13中，在对更新对象ECU19设定有IG断开前更新标志，更新不影响车辆行驶控制的软件的情况下，若下车条件成立，则将操作延迟显示请求发送至车载显示器7，使车载显示器7显示请求从IG接通向IG断开的切换操作的延迟的操作延迟请求画面，从而对用户请求从IG接通向IG断开的切换操作的延迟。通过请求从IG接通向IG断开的切换操作的延迟，能够促使用户使从IG接通向IG断开的切换操作延迟。另外，若下车条件成立则将切换指示发送至该更新对象节点，从而能够在设定有IG断开前更新标志的更新对象ECU19中适当地进行激活处理。

在CGW13中，从管理对象ECU19获取更新后的车辆结构信息，将该获取的更新后的车辆结构信息与活动信息中包含的更新后的车辆结构信息进行对照，判定车辆结构信息的匹配性。能够适当地验证是否正常完成了软件的更新。

在CGW13中，从管理对象ECU19获取更新后的车辆结构信息，将该获取的更新后的车辆结构信息与更新前的车辆结构信息进行对照，判定车辆结构信息的匹配性。能够更适当地验证是否正常完成了软件的更新。

在CGW13中，若判定车辆结构信息的匹配不正确，则进行将切换指示再次发送至更新对象ECU19的重试处理。在未正常完成软件的更新的情况下，能够通过进行重试处理来适当地进行应对。

在CGW13中，若判定车辆结构信息的匹配不正确，则进行将更新对象ECU19的软件返回至安装处理前的状态的回滚处理。在未正常完成软件的更新的情况下，能够通过进行重试处理来适当地进行应对。

在CGW13中，在进行了重试处理后进行回滚处理。通过不立刻使更新对象ECU19的软件回到安装处理前的状态，而进行重试处理，能够提高正常完成软件的更新的可能性。

在CGW13中，以是从更新对象ECU19中的激活处理完成后起的规定期间内为条件，进行回滚处理。通过对可进行回滚处理的期间施加限制，能够预先避免通过非法的访问等将软件写回较旧的版本。

在CGW13中，动态地决定成为是否进行回滚处理的判定基准的规定期间。能够任意地变更可进行回滚处理的期间的限制。例如若是软件的更新以功能改善等所带来的版本升级为目的的情况，则使规定期间相对较长，若是软件的更新以不良情况修正为目的的情况，则使规定期间相对较短等，能够任意地变更可进行回滚处理的期间的限制。

在CGW13中，以设定有量产标志为条件，进行回滚处理。通过在设定有试制标志的情况下不能进行回滚处理，从而能够仅在试制中使软件更新至较旧的版本。

在CGW13中，能够以认证成立为条件，进行从试制标志向量产标志的设定变更。能够适当地确保进行从试制标志向量产标志的设定变更的情况的安全。

在CGW13中，无法进行从量产标志向试制标志的设定变更。通过使从量产标志向试制标志的设定变更无法进行，能够预先避免版本管理的复杂化。

本公开虽然依据实施例进行了描述，但应该理解并不限定于该实施例、结构。本公开也包含各种变形例、同等范围内的变形。除此之外，也将各种组合、方式，甚至其中仅包含一个要素、更多或者更少要素的其它的组合、方式纳入本公开的范畴、思想范围。

例示了在更新对象ECU19是外置存储器ECU19的情况下，将复制指示发送至该作为外置存储器ECU19的更新对象ECU19的情况，但并不必须发送复制指示，也可以不发送复制指示。即，也可以不必在IG断开前在外置存储器ECU19中进行储存于存储器区域的软件向外置存储器的复制处理。

例示了IG断开前更新标志以及IG断开后更新标志存储于IG断开前后更新标志存储部38的结构，但也可以在规格数据中储存有相当于IG断开前更新标志以及IG断开后更新标志的信息。在该情况下，控制部34也可以参照规格数据，判定在IG断开前许可还是禁止激活处理的执行。另外，也可以不设置IG断开前更新标志以及IG断开后更新标志，而将切换设定指示发送至所有更新对象ECU19。

对执行重试处理的情况进行了说明，但也可以不执行重试处理而省略。即，也可以控制部34当在从管理对象ECU19接收更新后的车辆结构信息前，判定为由从IG接通向IG断开的切换起已经过一定时间时(A22：“是”)、或者当判定车辆结构信息的匹配不正确时(A24：“否”，A28：“否”)，不执行将切换指示再次发送至更新对象ECU19的重试处理，而以是回滚的可执行期间内为条件，执行回滚处理(A33)。

也可以由通过构成被编程为执行通过计算机程序具体化的一个或者多个功能的处理器以及存储器提供的专用计算机实现本公开所记载的控制部及其模式。或者，也可以由通过由一个以上的专用硬件逻辑电路构成处理器提供的专用计算机实现本公开所记载的控制部及其模式。或者，也可以由通过被编程为执行一个或者多个功能的处理器以及存储器与由一个以上的硬件逻辑电路构成的处理器的组合构成的一个以上的专用计算机实现本公开所记载的控制部及其模式。另外，计算机程序也可以作为由计算机执行的指令，存储于计算机可读取的非迁移有形记录介质。

Claims (17)

1.一种车辆用电子控制装置，是搭载于能够切换能够对车辆蓄电池充电的可充电状态和不能够充电的不可充电状态的车辆，以从上述车辆蓄电池供给的电力作为动作电力进行动作的车辆用电子控制装置，其中，具备：

激活批准执行部(40b)，在更新对象节点中完成安装处理后，进行对用户询问是否批准激活处理的激活批准，上述安装处理是写入更新数据并生成更新后的软件的处理，上述激活处理是使上述更新后的软件有效的处理；以及

切换指示发送部(40g)，以确定了激活的批准许可为条件，能够将指示执行上述激活处理的切换指示发送至上述更新对象节点，

上述激活批准执行部在上述可充电状态中进行上述激活批准。

2.根据权利要求1所述的车辆用电子控制装置，其中，

具备切换设定指示发送部(40e)，上述切换设定指示发送部将切换设定指示发送至上述更新对象节点，上述切换设定指示是在下一次从上述可充电状态向上述不可充电状态的切换时指示执行上述激活处理的指示，

上述切换设定指示发送部在上述可充电状态中将上述切换设定指示发送至上述更新对象节点。

3.根据权利要求1或2所述的车辆用电子控制装置，其中，

具备车辆状态判定部(40a)，上述车辆状态判定部判定车辆状态，

上述激活批准执行部以被判定为是不阻碍驾驶操作的车辆状态为条件，在上述可充电状态中进行上述激活批准。

4.根据权利要求1～3中任一项所述的车辆用电子控制装置，其中，具备：

存储器结构确定部(40c)，确定上述更新对象节点的存储器结构；以及

复制指示发送部(40d)，在上述更新对象节点是具有外置存储器的存储器结构的节点的情况下，将复制指示发送至该更新对象节点，上述复制指示是指示执行储存于存储器区域的软件向上述外置存储器的复制处理的指示，

上述复制指示发送部在上述可充电状态中将上述复制指示发送至上述更新对象节点。

5.根据权利要求1～4中任一项所述的车辆用电子控制装置，其中，具备：

下车条件成立判定部(40f)，判定用户下车的下车条件的成立；以及

操作延迟请求部(40h)，请求从上述车辆蓄电池的上述可充电状态向上述不可充电状态的切换操作的延迟，

在上述更新对象节点是更新不影响车辆行驶控制的软件的节点的情况下，当判定为上述下车条件成立时，上述操作延迟请求部请求上述切换操作的延迟。

6.根据权利要求5所述的车辆用电子控制装置，其中，

在上述更新对象节点是更新不影响车辆行驶控制的软件的节点的情况下，当判定为上述下车条件成立时，上述切换指示发送部将上述切换指示发送至该更新对象节点。

7.根据权利要求1～6中任一项所述的车辆用电子控制装置，其中，具备：

车辆结构信息获取部(41a)，从包含上述更新对象节点的管理对象节点获取更新后的车辆结构信息；以及

匹配性判定部(41b)，将上述更新后的车辆结构信息与活动信息中包含的更新后的车辆结构信息进行对照，判定上述车辆结构信息的匹配性。

8.根据权利要求7所述的车辆用电子控制装置，其中，

上述车辆结构信息获取部从上述管理对象节点获取更新前的车辆结构信息，

上述匹配性判定部将上述更新后的车辆结构信息与上述更新前的车辆结构信息进行对照，判定上述车辆结构信息的匹配性。

9.根据权利要求7或8所述的车辆用电子控制装置，其中，

在由上述匹配性判定部判定为上述车辆结构信息的匹配不正确的情况下，上述切换指示发送部进行将上述切换指示再次发送至上述更新对象节点的重试处理。

10.根据权利要求7或8所述的车辆用电子控制装置，其中，

具备回滚处理执行部(42)，上述回滚处理执行部进行使更新对象节点的软件返回至安装处理前的状态的回滚处理，

在由上述匹配性判定部判定为上述车辆结构信息的匹配不正确的情况下，上述回滚处理执行部进行上述回滚处理。

11.根据权利要求10所述的车辆用电子控制装置，其中，

在通过由上述匹配性判定部判定为上述车辆结构信息的匹配不正确从而上述切换指示发送部进行了将上述切换指示再次发送至上述更新对象节点的上述重试处理后，由上述匹配性判定部再次判定上述车辆结构信息的匹配不正确的情况下，上述回滚处理执行部进行上述回滚处理。

12.根据权利要求10或11所述的车辆用电子控制装置，其中，

上述回滚处理执行部以是从上述更新对象节点中的激活处理完成后起的规定期间内为条件，进行上述回滚处理。

13.根据权利要求12所述的车辆用电子控制装置，其中，

上述回滚处理执行部动态地决定上述规定期间。

14.根据权利要求10～13中任一项所述的车辆用电子控制装置，其中，

能够择一地设定第一标志和第二标志，

上述回滚处理执行部以设定有上述第二标志为条件，进行上述回滚处理。

15.根据权利要求14所述的车辆用电子控制装置，其中，

能够以认证成立为条件，进行从上述第一标志向上述第二标志的设定变更。

16.根据权利要求14或15所述的车辆用电子控制装置，其中，

无法进行从上述第二标志向上述第一标志的设定变更。

17.一种更新程序，其中，使搭载于能够切换能够对车辆蓄电池充电的可充电状态和不能够充电的不可充电状态的车辆，以从上述车辆蓄电池供给的电力作为动作电力进行动作的车辆用电子控制装置(13)的控制部(34)执行：

激活批准执行步骤，在更新对象节点中完成安装处理后且在上述可充电状态中，进行对用户询问是否批准激活处理的激活批准，其中，上述安装处理是写入更新数据并生成更新后的软件的处理，上述激活处理是使更新后的软件有效的处理。