CN1514077A - 车载程序的改写控制装置 - Google Patents

Abstract

本发明提供一种车载程序的改写控制装置，可以在小容量的储存器上进行大容量程序的改写。为此，在车载控制器(35)的存储介质(23)中，设置存储车辆状态数据的数据区域(23b)。改写车载程序时，把车辆状态数据写入到与数据区域不同的储存区域(23a)，或与存储介质(23)不同的存储介质进行保存，然后执行改写，在改写结束后，把存储的车辆状态数据，回写数据区域中。

Description

车载程序的改写控制装置

技术领域

本发明涉及一种进行改写车载程序的控制的装置。

背景技术

在近年来开发的建筑机械中，搭载有收集车体的现在位置、辅助仪表的计时值(累计工作时间)、在车体内发生的过去的错误经历、在车体内发生的误码的过去的经历、目前钥匙开关是否打开(在ACC位置)的钥匙开关信息、蓄电池目前的端电压的蓄电池端子电压信息、起动闭锁是有效还是无效以及当前设定的起动闭锁时间段的起动闭锁信息等的车辆状态信息(以下称车辆状态数据)的各种控制器。在这样的车载控制器内装有CPU，按照存储在闪烁存储器等的EEPROM(电可擦除的ROM)中的车载程序，执行运算处理，进行车辆状态的数据收集和与外部传输信息等的处理。比如，车载控制器和外部服务器之间，通过因特网等通信手段能够保持自由通信连接，车载控制器收集的车辆状态数据传送到服务器。或者由服务人员直接到建筑机械上，在车载控制器上连接个人用计算机，把车辆状态数据输入到个人用计算机。

当更新车载程序版本时，或想改变为对每个车辆上产生误码、或对每个车辆的误码等进行异常判断的阈值时，有必要把储存在闪烁存储器的旧车载程序改写为新的车载程序。

在专利文献1(日本特开10-212739号公报)中，记载了有关建筑机械的、装有用于收集工作数据的控制器的同时，在远离的地方安装了具有服务器功能的监视装置。所以，利用通信装置连接这些收集工作数据用的控制器和监视装置，按照监视装置的要求，改写收集工作数据用的控制器内的工作数据处理程序。即在从监视装置传送过来新的工作数据处理程序后，将起动建筑机械内的收集工作数据用控制器ROM上的改写控制程序，开始改写处理，新的工作数据处理程序暂时保存在RAM中。然后，从RAM向EEPROM，转写新的工作数据处理程序，从而系统控制权转移到新的工作数据处理程序。

在建筑机械内收集的车辆状态数据中，辅助仪表的计时值(累计工作时间)、在车体内发生的过去错误记录等是不能随着改写处理而复位的具有连贯性的数据。作为车载控制器的内部储存器的RAM，大多是小容量的。虽然设计时考虑了这个RAM足够的数据容量，但由于后来功能的增加导致的代码量的增加，在RAM中作为工作区域、临时区域，能够使用的容量随着功能的增加变小。因此，要改写成新的车载程序时，虽然新的车载程序能够暂时储存在RAM的工作区域，但由于工作区域剩余容量的不足，有可能新的大容量车载程序不能确实地缓存到RAM的工作区域。

这一点在专利文献1中，虽然记载了有关新工作数据处理程序暂时储存到RAM的情况，但并没有记载在同一个RAM上具有连续性的工作数据如何保留在RAM上。

在通常运用时，建筑机械内收集工作数据用的控制器按照工作数据处理程序收集工作数据并处理，然后，按照监视装置的要求，把处理后的工作数据传送到监视装置。在改写时，从监视装置向建筑机械输送新工作数据处理程序，使得在建筑机械内的收集工作数据用的控制器中，旧的工作数据处理程序被改写成新的工作数据处理程序。

从处在远程的服务器(监视装置)用遥控改写建筑机械内的车载程序过程中，有时发生通信异常或通信挂断的情况。如果在改写车载程序处理过程中发生异常，那么车载程序此后不起动，车载控制器自身失去了功能，有可能出现在通常运用时不能收集车辆状态数据的情况。特别是在用远程遥控改写处理时，当每一次发生通信异常或通信挂断时，必须由服务人员到达很远的建筑机械现场，更换、修理车载控制器。因此，不仅大大降低了建筑机械的工作效率，同时为了恢复正常，需要花费大量的人力、时间、精力。

由于车载程序的数据量，达到几百千字节，很大，从服务器(监视装置)以多台的建筑机械作为对象传送车载程序时，由于通信线路的混乱，改写处理需要很长时间。这时候，由于通信线路被改写处理的通信所占用，有可能出现通常运用处理的通信会出现长时间中断的情况。这一点在专利文献1中，没有指出有关由于通信线路被改写处理所占引起的问题及防止措施。

如果车载控制器内的RAM等元件有损坏等异常现象，那么，在距服务器(监视装置)很远的地方遥控改写建筑机械内的车载程序过程中，车载控制器本身失去功能，在通常运用时，有可能不能收集车辆状态数据。特别是车载控制器，按照车载程序，对于起动闭锁回路具备输出起动闭锁解除命令的功能，但车载控制器如果失去了功能，就不能解除起动闭锁。但是，由于建筑机械有时是在恶劣的状况下工作，所以必须解除起动闭锁。另外，如果在起动闭锁状态下车载控制器失去了功能，那么服务人员必须到达现场更换才能移动，所以工作效率大幅度下降。建筑机械通常多是在偏远的地方工作，对于建筑机械的工作场所，存在着由于通信中断等原因，改写处理不能正常结束的可能。

这一点在上述专利文献1中，并没有记载对于改写处理出现上述不良情况下如何事先防止的问题。

发明内容

本发明正是针对上述实情的发明，其目的在于在改写车载程序时可以可靠保留不能复位的数据，同时在小容量的存储器上，能够改写大容量的车载程序。再有其目的在于在改写处理中即使出现异常导致也可以防止工作效率下降，避免由于改写处理的通信长时间占用。进一步其目的在于可以事先避免改写处理不能正常结束的事态。

有关本发明之一的车载程序的改写控制装置，包括设置在车辆内的车载控制器；在车载控制器的信息收集控制器的存储介质中，设置保存车辆状态数据的数据区域；一旦给出改写成新车载程序的命令，先把保存在数据区域的车辆状态数据，写入到存储介质内的、与数据区域不同的存储区域，或是与存储介质不同的存储介质中进行保存，然后执行改写成新车载程序的改写处理；若改写处理结束后，就执行把保存的车辆状态数据回写到数据区域的处理。并且在车载程序的改写控制装置中，与存储介质不同的存储介质也可以是与存储介质另外设置在信息收集控制器内的存储介质、在车辆内部的设置在信息收集控制器之外的存储介质、在车辆的外部的通过通信机构连接成与车载控制器可以自由通信的服务器内的存储介质中的至少一个。

依据有关构成，针对改写处理不能复位的，但又想继承的车辆数据，在改写处理时保存到其他的存储介质中，改写处理结束后，回写到原来的数据区域，由此达到可靠把车辆状态数据保留到信息收集控制器的储存器上。

在改写控制装置中，在保存车辆状态数据的期间，数据区域也可以作为车载程序的缓冲区域使用。依据有关构成，能够在信息收集控制器内的小容量的存储装置上，可靠缓存大容量的车载程序，且可靠执行改写处理。

有关本发明之二的车载程序的改写控制装置，包括服务器、设置在车辆内的车载控制器、将服务器和车载控制器连接成可自由通信的通信机构；具有通信状态可切换成、i)在服务器和车载控制器之间传输车辆状态的通常运用模式、ii)把车载控制器的车载程序，改写为由服务器传送过来的新车载程序的改写模式；当从服务器有车载程序改写指令时，就从通常运用模式切换成改写模式，在改写模式中，当传送来向通常运用模式的切换命令时，就从改写模式转换为通常运用模式。并且，在改写控制装置中，切换命令也可以基于来自计时机构的信号或退出信号。

依据有关构成，即使在执行改写处理过程中，发生了通信异常或挂断等异常情况，也能够可靠起动旧的车载程序，保持信息收集控制器的功能。因此，确实能够执行通常的运用处理，防止了由于信息收集控制器失去了功能，导致的工作效率的下降。因为根据切换命令，由改写模式转移到通常运用模式，所以可以避免由于改写处理的通信导致的长时间占用通信线路问题，保证了通常运用处理的通信，和在通常运用处理中不出现故障。

有关本发明之三的车载程序的改写控制装置，包括服务器、设置在车辆内的车载控制器、将服务器和车载控制器连接成可自由通信的通信机构；服务器通过通信机构，在执行车载控制器的车载程序的改写处理时，服务器通过参照上述车载控制器的存储内容，判断是否应该执行车载程序的改写处理。在改写控制装置中，车载控制器的存储内容，也可以包括车载程序及车辆状态数据中的至少一个。在改写控制装置中，服务器在判断是否应该执行车载程序的改写处理时，也可以比较车载控制器的存储内容和源文件的储存内容。

再有，在改写控制装置中，服务器在判断是否应该执行车载程序的改写处理时，也可以校验车辆的车辆状态数据，其内容表示车辆的起动处于闭锁状态时，不执行改写处理。在改写控制装置中，服务器在判断是否应该执行车载程序的改写处理时，也可以校验车辆的车辆状态数据，其内容表示车辆位于特定的位置时，不执行改写处理。

有关构成适用于按照服务器的要求利用通信方法远程改写车辆内的车载程序的场合。依据这些构成，由于在改写处理时事先校验车辆状态数据，可以避免改写处理不能正常结束的情况或出现的危险状况。通过比较车载控制器与源文件的存储内容，就能够验证车辆内的数据和源文件的数据之间是否一致，根据这一结果能够正确判断其后的处理。另外，在起动处于闭锁状态时不执行改写处理，所以，能够避免车辆在起动闭锁的状态不能移动的情况，进而事先避免了工作效率的下降。

附图说明

图1表示有关本发明的实施例的系统整个结构图。

图2表示在实施例中改写处理的流程图。

图3A～图3F表示在实施例中闪烁存储器以及RAM的状态变换图，图3A表示改写前的状态，图3B表示传输要继承的数据被保存到服务器的状态，图3C表示远程接收新程序，图3D表示进行新程序的改写，图3 E表示新程序被复制到储存装置的状态，图3F表示从服务器接收要继承的数据的状态。

图4表示在实施例中不能改写的数据区域图。

图5A～图5D表示在实施例中保存数据时的闪烁存储器以及RAM状态变换图，图5A表示往RAM的最末端复制数据，图5B表示新程序的暂时缓冲保存，图5C表示向闪烁存储器复制新程序，图5D表示往正确位置复制数据。

图6表示在实施例中保存数据时的处理的流程图。

图7表示在实施例中验证数据时的处理的流程图。

图8表示在实施例中服务器的切换处理的流程图。

图9表示在实施例中通常运用模式和改写模式间切换处理的流程图。

图10表示在实施例中服务器和建筑机械间的对应关系图。

具体实施方式

下面结合附图详细说明与本发明有关的优选实施例。图1表示实施例的整体装置结构。在以下的实施例中，作为车辆假设是建筑机械50，假设建筑机械50内的车载程序60，按照改写专用服务器3的要求远程改写的情况。

在本实施例的系统中，建筑机械50分别连接到通常运用服务器2以及改写专用服务器3上，使得它们通过各自的通信方式(无线通信11、天线10、专用线9、地面电波基站8、专用线14、15)相互自由地传输信息。通常运用服务器2位于内部互联网4之中，与因特网7连接。因此，通常运用服务器2起着因特网7、内部互联网4的各客户终端的服务器的功能。给通常运用服务器2赋于在网络中能够识别自己的ID(服务器识别ID)的IP地址“ID1”。在建筑机械50上，连接了与通常运用服务器2可通信的通信终端(通信控制器30)，在这个通信终端上，赋于与服务器识别ID“ID1”对应的IP地址“ID3”(参看图10)

改写专用服务器3位于内部互联网5中，与因特网7连接。这样改写专用服务器3起着因特网7、内部互联网5的各客户终端的服务器的功能。给改写专用服务器3，赋于在网络中能够识别自己ID(服务器识别ID)的IP地址“ID2”。在建筑机械50上，连接了与改写专用服务器3可通信的通信终端(通信控制器30)，给这个通信终端，赋于与识别服务器的ID“ID2”相对应的IP地址“ID4”(参照图10)。

其他的建筑机械和服务器之间的对应关系也同样。图10表示了多个建筑机械50、50a、50b…与通常运用服务器2、改写专用服务器3之间的对应关系。给建筑机械50a内的通信终端，赋于与通常运用服务器2的识别服务器ID“ID1”对应的IP地址“ID5”的同时，赋于与改写专用服务器3的识别服务器ID“ID2”对应的IP地址“ID6”。给建筑机械50b的通信终端，赋于与通常运用服务器2的识别服务器ID“ID1”相对应的IP地址“ID7”的同时，赋于与改写专用服务器3的识别服务器ID“ID2”相对应的IP地址“ID8”。

由各ID1、ID3、ID5、ID7…中特定的服务器和通信终端，组成一个内部互联网4。又由各ID2、ID4、ID6、ID8…中特定的服务器和通信终端，组成一个内部互联网5。

在建筑机械50的车体内，装有内设包数据通信用的无线机的通信控制器30。在通信控制器30的天线31和地面电波用的天线10之间，通过包通信进行着无线通信11。天线10借助专用线9，与地面电波基站8连接。地面电波基站8，比如是移动电话基站。地面电波基站8，通过专用线14、15分别连接到内部互联网4、5。在建筑机械50的车体内除通信控制器30外，还装有信息收集控制器20、发动机控制器40等各种控制器。这些控制器，由按照所定的通信协议进行通信的车体内通信线路51，连接成相互间能够通信。在本实施例中，车载控制器35由信息收集控制器20及通信控制器30构成。

在建筑机械50的车体各部位，配备了发动机57的冷却水、蓄电池53的电压、GPS传感器等。由这些控制器构成传感器组52。GPS传感器接收从GPS卫星发送过来的电波后，能够找出建筑机械50自己的绝对位置。在建筑机械50的车体内，装有日历表25、计时器26。日历表25、计时器26记录着年、月、日、时刻(时、分、秒)。在建筑机械50的车体内，装有服务仪表SMR，记录发动机57的累积工作时间。

在信息收集控制器20内，通过总线24，使CPU21和闪烁存储器22及RAM(随时读写存储器)23之间能够相互地自由传输数据。闪烁存储器22是EEPROM(电可擦除的ROM)的一种。而且，也可以用闪烁存储器等的EEPROM代替RAM23使用。在闪烁存储器22的规定的保存区域中，保存着车载程序60。在闪烁存储器22的规定的保存区域中，保存着对改写车载程序60进行改写处理的改写控制程序61。

CPU21按照车载程序60进行演算处理，生成车辆状态数据。车辆状态数据保存在RAM23的数据区域。比如，在起动闭锁被设定为“有效”时，取出日历表25、计时器26的记录值，当达到设定的起动闭锁时间段时，输出起动闭锁设定命令，执行起动闭锁，当时间到达起动闭锁时间段外时，执行输出起动闭锁解除命令的处理。

在RAM23的数据区域，保存着如下的车辆状态数据。

自己的IP地址(ID3、ID4)

车载程序60的目前版本；

通信终端(通信控制器30)的开始检查结束了的开始检查完了信息；

建筑机械50的机种、型式、机号；

服务仪表SMR的计时值(累积工作时间)；

蓄电池53的当前输出电压(蓄电池端子电压信息)；

冷却水的温度；

由GPS传感器确定的自己的车辆的现在的绝对位置(绝对位置信息)；

在车体内发生的误码的记录；

表示当前钥匙开关54是否合上(处在ACC位置)的开关信息；

当前起动闭锁是否有效，当前设定的起动闭锁时间段等的起动闭锁信息；

总线24通过接口，连接了信息收集控制器20外的服务仪表SMR、传感器组52，还通过接口连接了控制器20外的车体内的通信线路51。在本实施例中，通信控制器30和信息收集控制器20是分体的，虽然在信息收集控制器20中，设定了作为通信终端的通信控制器30的IP地址“ID3”、“ID4”，但也可以把作为通信终端的通信控制器30和信息收集控制器20的功能，用一个控制器来构成。

在建筑机械50的车体内，装有起动闭锁回路55。起动闭锁回路55由继电器等组成，并位于钥匙开关54、起动发动机57的起动装置56之间。起动装置56的电源是车载的蓄电池53，蓄电池53也是各控制器20、30、40的电源。

若从发动机控制器40发出起动闭锁设定指令的话，起动闭锁回路55的继电器被接通，成为设定起动闭锁的状态。也就是即使钥匙开关54合上了(ACC位置)，蓄电池53的输出电压不会施加到起动装置56上。因此，起动装置56成为不起动的状态，使得不能起动发动机57。所以，若从发动机控制器40发出起动闭锁的解除指令的话，起动闭锁回路55的继电器被断开，成为解除起动闭锁的状态。即由于钥匙开关54是闭合着(ACC位置)，起动装置56就开始工作，能够起动发动机57。起动闭锁的设定指令和起动闭锁的解除指令，按照车载程序60，从信息收集控制器20通过车体内的通信线路51，被送到发动机控制器40。起动闭锁的设定指令和起动闭锁解除指令，当设定为目前起动闭锁“有效”时，就从信息收集控制器20输出。判断是否进入起动闭锁的时间段，是以信息收集控制器20内的日历表25、计时器26的计时值为依据的。

钥匙开关54闭合(在ACC位置)的信息，是从发动机控制器40通过车体内通信线路51，被输送到信息收集控制器20内。

通常运用服务器2，管理着包括建筑机械50在内的多个建筑机械内的车辆状态数据。改写专用服务器3，是远程控制改写车载程序60的服务器。通常运用服务器2具有源文件6。输入到通常运用服务器2中的最新的车辆状态数据，被储存到源文件6中。另外，改写专用服务器3具有源文件6’。通常运用服务器2内由源文件6保存的数据，通过因特网7被输入到改写专用服务器3内，形成与源文件6相同的保存内容的即“复制品”的源文件6’。

下面一并参照图8，说明有关建筑机械50与哪一个服务器连接并怎样连接切换控制的。在初始状态，在建筑机械50的信息收集控制器20中，设定与通常运用服务器2的识别ID“ID1”对应的自己的IP地址“ID3”为“有效”，设定与改写专用服务器3的服务器识别ID“ID2”对应的自己的IP地址“ID4”为“无效”(通常运用模式)。在信息收集控制器20中设定为“有效”的自己的IP地址数据“ID3”，从信息收集控制器20通过车体内通信线路51，被输送到通信控制器30内。

由通常运用服务器2要求的建筑机械50的车辆状态数据命令，通过专用线14、地面电波基站8、专用线9、天线10，以无线通信11方式向建筑机械50输送，则由建筑机械50的天线31接收信息，这一数据被通信控制器30接收。在从通常运用服务器2传过来的数据中，包括服务器识别ID“ID1”。在通信控制器30中，设定为现在的IP地址“ID3”，且接收的数据中包括服务器识别ID“ID1”，就判断为两者相对应(是“ID1”、“ID3”同属于一个网络)，建立了通信的往来，变成能够从建筑机械50侧输出车辆状态数据的状态。(第401步的判断为YES)。

因此，请求车辆状态数据的命令，从通信控制器30通过车体内通信线路51，输送到信息收集控制器20内。比如，如果请求当前的服务仪表SMR的计时值的命令，输送到了信息收集控制器20内，那么，保存在RAM23数据区域的当前的服务仪表SMR的计时值，通过车体内通信线路51从信息收集控制器20被输送到通信控制器30内。因此，从通信控制器30的天线31以无线通信11方式输出，通过天线10、专用线9、地面电波基站8、专用线14，输送到通常运用服务器2。

对于设定所谓的起动闭锁有效、无效、起动闭锁时间段的起动闭锁信息的命令，从通常运用服务器2向建筑机械50输出的场合，以同样方式，在信息收集控制器20中命令的起动闭锁信息被设定。甚至可以从通常运用服务器2的各客户终端，通过通常运用服务器2对建筑机械50发出相同的命令。

在建筑机械50中，发生特定的异常、或发生处于特定的时刻等特定的事件时，把在事件发生时刻，在RAM23中保存的异常内容、或应定期输出的车辆状态数据等，从信息收集控制器20通过车体内通信线路51，输送到通信控制器30内。然后，从通信控制器30的天线31，以无线通信方式11传送(自动发出信息)。被自动传送的车辆状态数据，通过天线10、专用线9、地面电波基站8、专用线14输送到通常运用服务器2。

输送到通常运用服务器2中的建筑机械50的车辆状态数据，通过从与属于通常运用服务器2的网络、即与因特网7、内部互联网4连接的各客户终端访问通常运用服务器2，显示在各客户终端的显示器上。输送到通常运用服务器2的最新的车辆状态数据，被保存到源文件6的同时，通过因特网7保存到源文件6’中(第405步)。

当升级了车载程序60时，或想改变由于每个建筑机械产生误码、判断异常导致的阈值时，保存在闪烁存储器22中的旧的车载程序60’被新的车载程序60改写。在以下的说明中，旧的车载程序60带一撇与新的车载程序60区别开。

从改写专用服务器3，通过专用线15、地面电波基站8、专用线9、天线10，以无线通信11方式，向建筑机械50输送改写建筑机械50的车载程序60的命令的话，建筑机械50的天线31就接收信息，把这一数据输送到通信控制器30内。从改写专用服务器3输送过来的数据中，包括服务器识别ID“ID2”。在通信控制器30中，设定为目前IP地址“ID3”，在接收的数据中，包括服务器识别ID“ID2”。因此，被判断为两者不对应(因“ID2”、“ID3”不是同一个网络)，切断通信连接(第401步的判断为NO)。

由于识别ID的不一致而切断了通信连接这一信息，从通信控制器30通过车体内通信线路51输送到信息收集控制器20内。接收此信息后，在信息收集控制器20中，改写专用服务器3的与服务器识别ID“ID2”对应的自己的IP地址“ID4”，被切换为“有效”，通常运用服务器2的与服务器识别ID“ID1”对应的自己的IP地址“ID3”，被切换为“无效”(改写模式)。在信息收集控制器20中，被设定为“有效”的自己的IP地址数据“ID4”，从信息收集控制器20通过车体内通信线路51，被输送到通信控制器30内(第402步)。

改写专用服务器3接收切断了通信的事件后，向建筑机械50再次发送改写命令。从改写专用服务器3输送过来的数据中，包括服务器识别ID“ID2”。在通信控制器30中，由于设定了当前的IP地址“ID4”，在接收的数据中，包括了服务器识别ID“ID2”，所以判断为两者相对应(是“ID2”和“ID4”，属于同一个网络)，建立通信的往来(第403步判断为YES)。之后，以清除一定的条件为前提，按照从改写专用服务器3过来的命令，在信息收集控制器20中，执行车载程序60的改写处理(第404步)。

如上所述，根据本实施例，建筑机械50与所谓的通常运用服务器2、改写专用服务器3的各服务器之间，能够进行通信连接的切换。因此，如图10所示，当有多辆建筑机械50、50a、50b…时，建立某建筑机械与通常运用服务器2之间的通信连接，执行通常运用处理的同时，与此同步可以建立其他的建筑机械与改写专用服务器3之间的通信连接，进行改写处理。因此，消除了由于服务器过载和传输数据量大的程序引起的占有通信线路的问题，就能够稳定地传输服务器与多辆建筑机械之间的数据。

图2表示了按照改写专用服务器3的命令，改写车载程序60的处理流程。说明有关通常运用模式的恢复控制。如图2所示，在图8的第403步骤中，如果建筑机械50和改写专用服务器3之间建立了通信连接的话(图2的第101步)，那么，在收集信息控制器20中计时器26被设定，执行计时任务(第102、108、109步)。此时计时器26的设定时间，是改写处理所需时间留有余地后设定的时间T。

信息收集控制器20进行的是多项任务操作，计时任务与其他任务即改写任务(第103～107步骤)是独立工作的。因此，即使其他任务出现差错，而计时任务仍操作准确，并根据自己的复位处理，起动旧车载程序60’成为可能(第109步)。当改写任务(第103步～107步)正常结束时，计时器26在超过设定的时间T之前被清除，被改写为新的车载程序60。

对此，在改写任务(第103步～107步)过程中，若发生通信异常或挂断的话，即使超过计时器26的设定时间T，也不终止改写处理(第108步的判断为YES)，执行复位处理，起动旧的车载程序60’。也就是说，即使超过了设定的时间T，也不终止改写处理时，按照基于计时器26的信号的切换命令，执行复位处理，并切换为通常运用处理。

建筑机械50与服务器之间的通信状态，从改写模式切换为通常运用模式。即在信息收集控制器20中，与改写专用服务器3的服务器识别ID“ID2”相对应的自己的IP地址“ID4”恢复为“无效”，与通常运用服务器2的服务器识别ID“ID1”相对应的自己的IP地址“ID3”恢复为“有效”(通常运用模式)。在信息收集控制器20中，设定为“有效”的自己的IP地址数据“ID3”，从信息收集控制器20通过车体内通信线路51，输送到通信控制器30内。因此，之后的通常运用服务器2和建筑机械50之间的通信成为可能，也能够执行通常运用处理(第109步)。如上所述，根据本实施例，在进行改写处理过程中，即使发生通信异常或挂断等异常，也能够可靠地起动旧的车载程序60’，维持信息收集控制器20的功能。因此，能够可靠地执行通常运用处理，能够防止由于信息收集控制器20失去功能导致的工作效率的下降。另外，如果超过了计时器26设定的时间T的话，改写模式就切换为通常运用模式。基于此，可以避免由于改写处理的通信而长时间对通信线路的占用，保证了通常运用处理的通信，使得通常运用处理中不出现故障。从改写模式切换为通常运用模式，也可以是通过从分别连接到内部互联网5或是因特网7的终端36或终端37，在任意时刻向改写专用服务器3输出退出的信号(切换命令)来执行。

接下来说明有关车辆状态数据的校验处理。在图2的第101步骤中，若建立了改写专用服务器3和建筑机械50的通信控制器30之间的通信连接，则从改写专用服务器3送过来的改写命令，从通信控制器30通过车体内通信线路51，输送到信息收集控制器20内。信息收集控制器20接到改写命令后，在接下来的第103步中，执行校验当前车辆状态数据的处理。在第104步中，根据校验的结果，执行是否应该进行车载程序60的改写处理(改写处理是否可能)的判断。

第103步、104步的校验处理、判断处理，是在改写专用服务器3中进行。即信息收集控制器20收到改写命令的话，把应该校验的车辆状态数据从信息收集控制器20，通过车体内通信线路51输送到通信控制器30。因此，应该校验的车辆状态数据，从通信控制器30的天线31，以无线通信11方式输出，通过天线10、专用线9、地面电波基站8、专用线15，输送到改写专用服务器3。

改写专用服务器3校验接收的车辆状态数据，以全部满足下面的条件为条件，判断为应该执行改写处理。

条件1：不是起动闭锁的状态；

条件2：建筑机械50不是工作中的状态；

条件3：当前旧的车载程序601是改写对象的版本。

把条件1作为改写处理的执行条件，是因为担心在改写处理过程中，信息收集控制器20失去功能，担心信息收集控制器20失去功能的话，就不能输出解除起动闭锁的命令。所谓“不是起动闭锁的状态”，是根据保存在信息收集控制器20中的起动闭锁信息判断的。比如，起动闭锁设定为“无效”时，和起动闭锁“有效”且当前时刻处于起动闭锁时间段外的时候，可判断为“不是起动闭锁的状态”。

把条件2作为改写处理的条件，是因为担心在给工作中的建筑机械50输入新的车载程序60中，根据工作状态(比如行走中)可能通信中断或通信不稳定，改写处理不能正常结束。所谓“建筑机械50不是工作中的状态”，根据保存在信息收集控制器20中的钥匙开关信息判断。比如，钥匙开关54为关断(离开ACC位置)时，被判断为“建筑机械50不是工作中的状态”。建筑机械50是否为工作中的状态，也可根据校验交流发电机的输出电压、或发动机57的转数来进行判断。

把条件3作为条件，是因为没有必要执行改写处理。如前所述，当前车载程序的版本号作为车辆状态数据，保存在信息收集控制器20。除此之外，也可以适当增加以下的条件。

条件4：结束了开始检查的通信终端(通信控制器30)；

条件5：蓄电池端子电压属于正常的范围；

条件6：建筑机械50应位于能够稳定地进行无线通信11的地方或安全的地方。

把条件4作为条件，是因为服务器方面还没有做好管理建筑机械50的准备。把条件5作为条件，是因为担心如果蓄电池53的输出电压超出正常范围的话，信息收集控制器20的CPU21不能稳定工作、改写处理不能正常结束。所谓“蓄电池端子电压属于正常范围”，可根据保存在信息收集控制器20中的蓄电池端子电压信息进行判断。

把条件6作为条件，是因为担心在向建筑机械50输入新车载程序60过程中，由于通信中断、通信不稳定，改写处理不能正常结束。另外，即使控制器失去了功能，也能确保建筑机械50的安全。所谓“建筑机械50应位于能够稳定地进行无线通信11的地方或安全的地方”，是根据保存在信息收集控制器20的绝对位置信息进行判断。但并不是把全部满足条件1～6作为执行改写处理的条件，也可以是把这些条件中的任何1条或2条以上的组合，作为执行改写处理的条件。

改写专用服务器3，是参照保存在信息收集控制器20中的车辆状态数据，来判断是否执行改写处理。但是，在源文件6’中，因为保存了建筑机械50的最新的车辆状态数据，所以，也可以参照保存在源文件61中的车辆状态数据，来判断是否执行改写处理。还可以一并参照保存在信息收集控制器20中的车辆状态数据，和保存在源文件61中的车辆状态数据，来判断是否执行改写处理。

图7表示在一并参照保存在信息收集控制器20中的车辆状态数据，和保存在源文件61中的车辆状态数据时，校验两者数据的处理流程。即如果改写专用服务器3和通信控制器30之间建立了通信连接(第301步)，那么，通过建筑机械50，把信息收集控制器20内部应校验的车辆状态数据，输送到改写专用服务器3，在改写专用服务器3中获得数据(第302步)。

另一方面，改写专用服务器3参照源文件61，获得了同样应该校验的车辆状态数据。因此，参照源文件61，比较预先获得的车辆状态数据，和通过信息收集控制器20内部获得的车辆状态数据(第303步)，就能判断出二者是否一致。比如，根据起动闭锁的信息，能够判断出源文件61的数据和信息收集控制器20内部的数据是否一致(第304步)。

这个结果当二者一致时(第304步判断为Y)，执行图2的第103步的校验处理，进一步地执行第104步的是否改写的判断处理(第305步)。但是，当二者不一致时(第305步的判断为N)，就中断以后的校验处理、是否改写的判断处理，执行分析数据异常的原因的处理(第306步)。

当改写专用服务器3判断为应当执行改写处理时(第104步的判断为YES)，就从改写专用服务器3向建筑机械50输送表达其意的数据。之后，在信息收集控制器20中，变成执行改写旧的车载程序601为新的车载程序60(第105～107步)。但是，当改写专用服务器3判断为不应执行改写处理时(第104步的判断为NO)，就从改写专用服务器3向建筑机械50输送表达其意的数据，然后输送到信息收集控制器20。信息收集控制器20接收此数据后，与计时器26超过设定时间T的情况相同，执行复位处理、起动旧的车载程序601。进而，建筑机械50和服务器之间的通信状态，从改写模式切换为通常运用模式。因此，此后通常运用服务器2和建筑机械50之间的通信连接成为可能，能够执行通常运用处理(第109步)。

如上所述，根据本实施例，因为事先校验了与改写处理相适应的车辆状态数据，所以，事先能够避免改写处理不能正常结束的情况，或危险情况的发生。特别是因为能够在起动闭锁的状态，避免信息收集控制器20失去功能，所以就能够事先避免工作效率的下降。

下面一同参照图2及图3A～图3F，说明图2中第105～107步的改写处理(车辆状态数据的保存处理)。图3A表示改写前的闪烁存储器22、RAM23的状态。如图3A所示，在闪烁存储器22的程序区域中，保存着车载程序601。而且，在闪烁存储器22的储存区域(图中未画出)保存着改写控制程序61。改写控制程序61是执行将旧的车载程序601改写为新的车载程序60的处理程序。RAM23是由工作区域23a、23c和保存着车辆状态数据60d的数据区域23b构成。工作区域23a、23c是空容量的区域。

改写专用服务器3，在判断为应该执行改写处理时(第104步的判断为YES)，表达其意的数据，从改写专用服务器3通过专用线15、地面电波基站8、专用线9、天线10，以无线通信11方式被输送到建筑机械50。然后，由建筑机械50的天线31接收，从通信控制器30通过车体内通信线路51，输送到信息收集控制器20内。接收此信息后，CPU21如图3B所示，从数据区域23b读出车辆状态数据60d，把它从信息收集控制器20通过车体内通信线路51，输送到通信控制器30。因此，车辆状态数据60d从天线31以无线通信11方式传送，送到改写专用服务器3。

改写专用服务器3，是通过把车辆状态数据60d保存在服务器3内规定的存储介质32(参照图1)中，实现保存的(图2的第105步)。如果有车辆状态数据60d保存到改写专用服务器3中，则新的车载程序60就从改写专用服务器3经过同样的路径，输送到信息收集控制器20内。接收此信息后，CPU21如图3C所示，把接收的新车载程序60暂时缓存到临时区域23d。临时区域23d，不仅包括工作区域23a、23c还包括数据区域23b。即虽然新车载程序60的容量，大多是与RAM23整个区域相当的大小，但由于保存了车辆状态数据60d，使得能够把数据区域23b作为新车载程序60的缓冲区域使用，所以能够真正地在RAM23上，缓存大容量的新车载程序60。

保存在闪烁存储器22中的改写控制程序61，被复制到RAM23规定的储存区域，由此，系统控制权转移到了被复制的RAM23上所谓改写控制程序61，闪烁存储器22成为改写模式。因此，此后如图3D所示，按照RAM23上的改写控制程序61，闪烁存储器22上的旧车载程序601被RAM23上的新车载程序60改写。即对缓存到临时区域23d中的新车载程序60，进行CRC校验后，新车载程序60被复制到闪烁存储器22的程序区域、即保存着旧车载程序601的区域，旧车载程序601改写为新车载程序60(第106步)。

如图3E所示，如果新车载程序60被复制到了闪烁存储器22，那么，表达其意的数据，从信息收集控制器20通过车体内通信线路51等，被输送到改写专用服务器3。改写专用服务器3接收此信息后，把保存到存储介质32中的车辆状态数据60d输送给建筑机械50。车辆状态数据60d由天线31接收，输送到信息收集控制器20内。接收此信息后，CPU21如图3F所示，执行把接收的车辆状态数据60d回写到RAM23的原来的数据区域23b的处理(第107步)。

若改写处理结束，CPU21执行自己复位处理。因此，系统控制权就转移到闪烁存储器22，闪烁存储器22变为通常模式，被保存在闪烁存储器22程序区域的新车载程序60就开始起动。可是，若旧车载程序601改写为新车载程序60的话，车辆状态数据60d的地址有时会发生变更。因此，在改写专用服务器3中保存车辆状态数据60d期间，与新车载程序60相对应，改变车辆状态数据60d的地址等，执行改写车辆状态数据60d的处理，也可以把被改写的车辆状态数据60d，回写到原来的数据区域23b。

如上所述，根据本实施例，对于在改写处理时不能删除服务仪表SMR的计时值(累积工作时间)、在车体内发生的过去错误的记录等的需要继承的车辆状态数据60d，在改写处理时从数据区域23b保存到改写专用服务器3的存储介质32。因此，改写处理结束后，因回写到原来的数据区域23b，所以，能够在信息收集控制器20的储存器上，可靠保留想要继承的车辆状态数据60d。另外，因为把保存了车辆状态数据60d后的数据区域23b，作为新车载程序60的缓冲区域使用，所以，能够在信息收集控制器20内的小容量储存器上，可靠缓存大容量的车载程序60，能够确实地执行改写处理。

在上述的实施例中，虽然将车辆状态数据60d保存到建筑机械50的外部改写专用服务器3的存储介质32，但在改写处理时，由于只要将车辆状态数据60d保存到其他保存区域或其他存储介质即可，所以，也可以在建筑机械50内部进行保存。比如，所谓其他的保存区域，有后述的RAM23的保存区域23e(参照图5A)。另外，所谓其他的存储介质，比如，有车载控制器35的信息收集控制器20内的闪烁存储器22、或者在建筑机械50内部的车载控制器35外设置的存储介质58(参照图1)。

图5A～图5D表示了在同一RAM23上不同的保存区域，保存车辆状态数据60d时的储存装置的状态变换。下面一并参照图5A～图5D与图6的流程图进行说明。如图5A所示，保存在数据区域23b的车辆状态数据60d，被复制到RAM23的最末尾的保存区域23e得以保存(第201步)。如图5B所示，从改写专用服务器3接收的新车载程序60，暂时被缓存到包含数据区域23b的临时区域23d里(第202步)。

如图5C所示，缓存到临时区域23d的新车载程序60，被复制到闪烁存储器22的程序区域(第203步)。这一改写处理结束后，保留在临时区域23d的新车载程序60被清除(第204步)。下面如图5D所示，保存到存储区域23e的车辆状态数据60d，回写到原来的正确位置的数据区域23b(第205步)。回写结束后，保留在存储区域23e的车辆状态数据60d被清除(第206步)。而且，第204步、206步的清除处理可以根据需要进行，也可以不清除，原样保留程序、数据。

在图5A～图5D中，是把车辆状态数据60d，保存到了属于同一个存储介质的RAM23上不同的保存区域，也可以同样方式保存到与车体内的RAM23不同的存储介质。比如，如图1所示，在建筑机械50中，在信息收集控制器20以外，安装有通信控制器30、发动机控制器40等的控制器。因此，在改写处理时，从信息收集控制器20通过车体内通信线路51，把车辆状态数据60d，保存到其他控制器内的存储介质中，当改写处理结束后，也可以把车辆状态数据60d，从其他控制器回写到信息收集控制器20内原来的数据区域23b。所谓与RAM23不同的其他存储介质，比如，如图1所示，有通信控制器30内的存储介质33、或者发动机控制器40内的存储介质41。

在上述的实施例中，把车辆状态数据60d保存到了其他的储存区域，但在改写处理时，只要不复位车辆状态数据60d即可，并不一定需要保存到其他区域。即如图4所示，把数据区域23b设定为不能写入的区域的同时，把临时区域23d设定为能够写入的区域。因此，把从改写专用服务器3传输过来的新车载程序60，暂时缓存到能够写入的临时区域23d，而在不能写入的数据区域23b缓存。由此，能够防止在改写处理时保存在数据区域23b的车辆状态数据60d被复位的事态。

在以上说明的实施例中，设想2个服务器分别是执行通常运用处理、改写处理的情况进行了说明，但也可以用1个服务器执行通常运用处理、改写处理。比如，用通常运用服务器2不仅执行通常运用处理，也可以执行改写处理。图9表示了在通常运用服务器2和建筑机械50之间，执行切换通常运用模式和改写模式的处理流程。

此时，作为在通常运用服务器2上的应用程序，和建筑机械50上的应用程序之间的通信协议，提供了UDP和TCP的2个传输端口层的协议。因此，按照UDP的通信协议，若从通常运用服务器2传送数据，则建筑机械50上的通信控制器30，建立与UDP的应用程序之间的连接，使与另一方的TCP的应用程序之间的连接为无效(第501步的判断为Y)。接收此信息后，通信控制器30判断为通常运用模式，然后，通过信息收集控制器20执行通常运用处理(第503步)。对此，按照TCP的通信协议，从通常运用服务器2传送数据，通信控制器30建立与TCP的应用程序之间的连接，使与另一方的UDP的应用程序之间的连接为无效(第502步判断为Y)。接收此信息后，通信控制器30判断为改写模式，然后，通过信息收集控制器20执行改写处理(第504步)。

另外，当设置2个服务器时，以其中的一个服务器为主来使用，而另一个服务器也可以作为备用的服务器使用。比如，用一个服务器可执行通常运用处理和改写处理，但也可以当给这个服务器进行维护等时，起动另一预备用的服务器，来执行通常运用处理和改写处理。此时，2个服务器和建筑机械之间的通信连接的切换，可以适用上述的实施例的方法。在本实施例中，虽然说明的是作为车辆的建筑机械50，但本发明对改写一般的汽车等、任意车辆的车载程序都适用。

Claims (12)

1.一种车载程序的改写控制装置，其特征在于：

包括设置在车辆(50)内的车载控制器(35)，

在所述车载控制器(35)的信息收集控制器(20)的存储介质(23)中，设置保存车辆状态数据的数据区域(23b)，

一旦给出改写成新车载程序的命令，先把保存在所述数据区域(23b)的车辆状态数据，写入到所述存储介质(23)内的、与所述数据区域(23b)不同的存储区域(23a)，或是与所述存储介质(23)不同的存储介质中进行保存，然后执行改写成新车载程序的改写处理，

若所述改写处理结束后，就执行把保存的车辆状态数据，回写到所述数据区域(23b)的处理。

2.根据权利要求1所述的车载程序的改写控制装置，其特征在于：与所述存储介质(23)不同的存储介质是与所述存储介质(23)另外设置在所述信息收集控制器(20)内的存储介质(22)、在所述车辆(50)内部的设置在所述信息收集控制器(20)之外的存储介质(33、41、58)、在所述车辆(50)的外部的通过通信机构(15、8、9、10、11)连接成与所述车载控制器(35)可以自由通信的服务器(3)内的存储介质(32)中的至少一个。

3.根据权利要求1或2所述的车载程序的改写控制装置，其特征在于：在保存所述车辆状态数据的期间，把所述数据区域(23b)作为车载程序的缓冲区域使用。

4.一种车载程序的改写控制装置，其特征在于：

包括：服务器(2，3)、设置在车辆(50)内的车载控制器(35)、将所述服务器(2，3)和所述车载控制器(35)连接成可自由通信的通信机构(14，15，8，9，10，11)，

具有通信状态可切换成、i)在所述服务器(2，3)和所述车载控制器(35)之间传输车辆状态的通常运用模式、ii)把所述车载控制器(35)的车载程序，改写为由所述服务器(2，3)传送过来的新车载程序的改写模式，

当从所述服务器(2，3)有车载程序改写指令时，就从通常运用模式切换成改写模式，在改写模式中，当传送来向通常运用模式的切换命令时，就从改写模式转换为通常运用模式。

5.根据权利要求4所述的车载程序的改写控制装置，其特征在于：所述切换命令基于来自计时机构(26)的信号或退出信号。

6.一种车载程序的改写控制装置，其特征在于：

包括：服务器(3)、设置在车辆(50)内的车载控制器(35)、将所述服务器(3)和所述车载控制器(35)连接成可自由通信的通信机构(15，8，9，10，11)，

所述服务器(3)通过所述通信机构(15，8，9，10，11)，在执行所述车载控制器(35)的车载程序(60)的改写处理时，所述服务器(3)通过参照所述车载控制器(35)的存储内容，判断是否应该执行所述车载程序(60)的改写处理。

7.根据权利要求6所述的车载程序的改写控制装置，其特征在于：所述车载控制器(35)的存储内容，包括所述车载程序(60)及车辆状态数据中的至少一个。

8.根据权利要求6或7所述的车载程序的改写控制装置，其特征在于：所述服务器(3)在判断是否应该执行所述车载程序(60)的改写处理时，比较所述车载控制器(35)的存储内容和源文件(61)的储存内容。

9.根据权利要求6或7所述的车载程序的改写控制装置，其特征在于：所述服务器(3)在判断是否应该执行所述车载程序(60)的改写处理时，校验所述车辆(50)的车辆状态数据，其内容表示所述车辆(50)的起动处于闭锁状态时，不执行改写处理。

10.根据权利要求6或7所述的车载程序的改写控制装置，其特征在于：所述服务器(3)在判断是否应该执行所述车载程序(60)的改写处理时，比较所述车载控制器(35)的存储内容和源文件(61)的存储内容，并且，校验所述车辆(50)的车辆状态数据，其内容表示所述车辆(50)的起动处于闭锁状态时，不执行改写处理。

11.根据权利要求6或7所述的车载程序改写控制装置，其特征在于：所述服务器(3)在判断是否应该执行所述车载程序(60)的改写处理时，校验所述车辆(50)的车辆状态数据，其内容表示所述车辆(50)位于特定的位置时，不执行改写处理。

12.根据权利要求6或7所述的车载程序的改写控制装置，其特征在于：所述服务器(3)在判断是否应该执行所述车载程序(60)的改写处理时，比较所述车载控制器(35)的存储内容和源文件(61)的储存内容，并且，校验所述车辆(50)的车辆状态数据，其内容表示所述车辆(50)位于特定的位置时，不执行改写处理。

Images