DE102022106659A1

DE102022106659A1 - Ota-master, aktualisierungssteuerungsverfahren und nicht-transitorisches speichermedium

Info

Publication number: DE102022106659A1
Application number: DE102022106659.2A
Authority: DE
Inventors: Shoichi NAGAMITSU
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2021-03-30
Filing date: 2022-03-22
Publication date: 2022-10-06
Also published as: JP7484791B2; CN115145613A; US20220317994A1; JP2022154449A

Abstract

Ein Over-the-Air (OTA) - Master (30) enthält einen oder mehrere Prozessoren, die eingerichtet sind, um: Aktualisierungsdaten für eine Software einer in einem Fahrzeug installierten elektronischen Steuereinheit (50a, 50b, 50c, 50d) von einem Center (10) zu downloaden; einen Softwareaktualisierungsprozess der elektronischen Steuereinheit (50a, 50b, 50c, 50d) unter Verwendung der Aktualisierungsdaten zu steuern; zu bestimmen, ob eine Stromversorgung der elektronischen Steuereinheit (50a, 50b, 50c, 50d) während einer Ausführung des Softwareaktualisierungsprozesses unterbrochen ist; und einen Aktualisierungsstatus der Software der elektronischen Steuereinheit (50a, 50b, 50c, 50d) an das Center (10) bei der Bestimmung, dass die Stromversorgung während der Ausführung des Softwareaktualisierungsprozesses unterbrochen ist, zu übermitteln.

Description

Hintergrund der Erfindung
Technisches Gebiet
Die vorliegende Offenbarung bezieht sich auf einen Over-the-Air (OTA)-Master, ein Aktualisierungssteuerungsverfahren und ein nicht-transitorisches Speichermedium.
Stand der Technik
Fahrzeuge enthalten eine Vielzahl von elektronischen Steuereinheiten, die eingerichtet sind, um den Betrieb der Fahrzeuge zu steuern. Die elektronische Steuereinheit hat einen Prozessor, einen flüchtigen Speicher, wie z. B. einen Direktzugriffsspeicher (RAM), und einen nicht-flüchtigen Speicher, wie z. B. einen Flash-Festwertspeicher (ROM). Der Prozessor implementiert Steuerfunktionen der elektronischen Steuereinheit, indem er eine in dem Speicher gespeicherte Software ausführt. Die in jeder elektronischen Steuereinheit gespeicherte Software ist überschreibbar. Eine Aktualisierung auf eine neuere Version der Software ermöglicht eine Verbesserung der Funktionen der elektronischen Steuereinheit und eine Hinzufügung neuer Fahrzeugsteuerungsfunktionen.
Eine Over-the-Air (OTA)-Technologie ist bekannt als eine Technologie zur Aktualisierung der Software von elektronischen Steuereinheiten. Eine, an ein fahrzeuginternes Netz(werk) angeschlossene, fahrzeuginterne Kommunikationsvorrichtung ist mit einem Kommunikationsnetz wie dem Internet drahtlos verbunden. Eine Vorrichtung, die einen Softwareaktualisierungsprozess für das Fahrzeug durchführt, lädt die Software über drahtlose Kommunikation von einem Center mit Serverfunktion herunter. Die heruntergeladene Software wird in der elektronischen Steuereinheit installiert. Auf diese Weise wird die Software der elektronischen Steuereinheit aktualisiert oder hinzugefügt.
Der Softwareaktualisierungsprozess unter Verwendung der OTA-Technologie kann von einem OTA-Master gestartet werden, indem über die fahrzeuginterne Kommunikationsvorrichtung Versionsinformationen der Software der elektronischen Steuereinheit an das Center übermittelt werden (Aktualisierungen / Updates bestätigt werden), wenn die Stromversorgung oder die Zündung des Fahrzeugs eingeschaltet wird (siehe z. B. JP 2018 - 181 377 A ). Der OTA-Master ist die Vorrichtung, die den Softwareaktualisierungsprozess für das Fahrzeug bedient. Wenn der OTA-Master Aktualisierungsdaten von dem Center mittels OTA herunterlädt, benachrichtigt der OTA-Master einen Anwender über die Aktualisierungsdaten, indem er die Benachrichtigung auf einer Anzeigevorrichtung in dem Fahrzeug anzeigt. Wenn der OTA-Master die Zustimmung des Anwenders durch Betätigung einer Eingabevorrichtung, z. B. einer Taste, erhält, installiert und aktiviert der OTA-Master die Aktualisierungsdaten.
Zusammenfassung der Erfindung
Wenn die elektronischen Steuereinheiten aufgrund einer Fehlfunktion oder dergleichen ausgetauscht werden müssen, werden vor dem Austausch der elektronischen Steuereinheiten die Kabelklemmen von der Fahrzeugbatterie entfernt, um die Stromversorgung von der Fahrzeugbatterie zu unterbrechen und die elektronischen Steuereinheiten auszuschalten (AUS), um die Arbeitssicherheit zu gewährleisten. Wenn die elektronischen Steuereinheiten für den Austausch oder dergleichen während des Softwareaktualisierungsprozesses (Download, Installation oder Aktivierung) der elektronischen Steuereinheiten ausgeschaltet werden, kann jedoch der Softwareaktualisierungsprozess in einem unvollständigen Zustand in jeder zu aktualisierenden elektronischen Steuereinheit unterbrochen werden. Wenn die elektronischen Steuereinheiten wieder eingeschaltet (EIN) werden, können die Softwareaktualisierungsstatus zwischen den elektronischen Steuereinheiten unterschiedlich sein.
Das Center, das die Aktualisierungsdaten verteilt, managt den Status des Softwareaktualisierungsprozesses auf der Grundlage einer Benachrichtigung von dem Fahrzeug, nachdem der Download der Aktualisierungsdaten abgeschlossen ist. Wenn die elektronischen Steuereinheiten für einen Austausch oder dergleichen ausgeschaltet werden, kann jedoch die Benachrichtigung von dem Fahrzeug unterbrochen werden. In diesem Fall können der Softwareaktualisierungsstatus in dem Fahrzeug und der von dem Center gemanagte Softwareaktualisierungsstatus nicht übereinstimmen.
Die vorliegende Offenbarung bietet einen OTA-Master und dergleichen, die die Diskrepanz zwischen dem Softwareaktualisierungsstatus in dem Fahrzeug und dem von dem Center gemanagten Softwareaktualisierungsstatus unterdrücken kann.
Ein OTA-Master gemäß einem ersten Aspekt der vorliegenden Offenbarung enthält einen oder mehrere Prozessoren, die eingerichtet sind, um: von einem Center Aktualisierungsdaten für eine Software einer in einem Fahrzeug installierten elektronischen Steuereinheit zu downloaden (bzw. herunterzuladen); einen Softwareaktualisierungsprozess der elektronischen Steuereinheit unter Verwendung der Aktualisierungsdaten zu steuern; zu bestimmen, ob eine Stromversorgung der elektronischen Steuereinheit während einer Ausführung des Softwareaktualisierungsprozesses unterbrochen ist/wird; und einen Aktualisierungsstatus der Software der elektronischen Steuereinheit an das Center zu übermitteln, wenn bestimmt ist/wird, dass die Stromversorgung während der Ausführung des Softwareaktualisierungsprozesses unterbrochen ist/wird.
Ein Aktualisierungssteuerungsverfahren gemäß einem zweiten Aspekt der vorliegenden Offenbarung ist von einem OTA-Master mit einem oder mehreren Prozessoren, einem Speicher und einer Speichervorrichtung auszuführen. Das Aktualisierungssteuerungsverfahren umfasst: Downloaden (bzw. Herunterladen) von Aktualisierungsdaten für eine Software einer in einem Fahrzeug installierten elektronischen Steuereinheit, von einem Center; Steuern eines Softwareaktualisierungsprozesses der elektronischen Steuereinheit unter Verwendung der Aktualisierungsdaten; Bestimmen, ob eine Stromversorgung der elektronischen Steuereinheit während einer Ausführung des Softwareaktualisierungsprozesses unterbrochen ist/wird; und Übermitteln eines Aktualisierungsstatus der Software der elektronischen Steuereinheit an das Center, wenn bestimmt ist/wird, dass die Stromversorgung während der Ausführung des Softwareaktualisierungsprozesses unterbrochen ist/wird.
Ein nicht-transitorisches Speichermedium gemäß einem dritten Aspekt der vorliegenden Offenbarung speichert ein Aktualisierungssteuerungsprogramm, das von einem Computer eines OTA-Masters mit einem oder mehreren Prozessoren, einem Speicher und einer Speichervorrichtung ausführbar ist und das den Computer veranlasst, Funktionen auszuführen, die umfassen: Downloaden (bzw. Herunterladen) von Aktualisierungsdaten für eine Software einer in einem Fahrzeug installierten elektronischen Steuereinheit, von einem Center; Steuern eines Softwareaktualisierungsprozesses der elektronischen Steuereinheit unter Verwendung der Aktualisierungsdaten; Bestimmen, ob eine Stromversorgung der elektronischen Steuereinheit während einer Ausführung des Softwareaktualisierungsprozesses unterbrochen ist/wird; und Übermitteln eines Aktualisierungsstatus der Software der elektronischen Steuereinheit an das Center, wenn bestimmt ist/wird, dass die Stromversorgung während der Ausführung des Softwareaktualisierungsprozesses unterbrochen ist/wird.
Mit dem OTA-Master, dem Aktualisierungssteuerungsverfahren und dem nicht-transitorischen Speichermedium der vorliegenden Offenbarung ist es möglich, der Diskrepanz zwischen dem Softwareaktualisierungsstatus in dem Fahrzeug und dem von dem Center gemanagten Softwareaktualisierungsstatus entgegenzuwirken.
Figurenliste
Merkmale, Vorteile sowie technische und industrielle Bedeutung von beispielhaften Ausführungsformen der Erfindung werden im Folgenden unter Bezugnahme auf die beigefügten Zeichnungen beschrieben, in denen gleiche Zeichen gleiche Elemente bezeichnen und in denen:

1 ein Blockdiagramm, das eine Gesamtkonfiguration eines Netzwerksystems gemäß einer Ausführungsform veranschaulicht, ist;
2 ein Blockdiagramm, das eine schematische Konfiguration eines Centers veranschaulicht, ist;
3 ein Funktionsblockdiagramm des Centers ist;
4 ein Blockdiagramm, das eine schematische Konfiguration eines OTA-Masters veranschaulicht, ist;
5 ein Funktionsblockdiagramm des OTA-Masters ist;
6 ein Flussdiagramm eines von dem OTA-Master auszuführenden Softwareaktualisierungssteuerungsprozesses ist; und
7 ein Flussdiagramm eines Prozesses von Schritt S608 der 6 ist.

Detaillierte Beschreibung der Ausführungsformen
Wenn in einem Netzwerksystem zur Aktualisierung (bzw. zum Updaten) eines Programms einer elektronischen Steuereinheit gemäß der vorliegenden Offenbarung die Stromversorgung aufgrund einer Unterbrechung der Stromversorgung oder dergleichen während eines Softwareaktualisierungsprozesses ausgeschaltet und dann wieder eingeschaltet wird, erfasst ein OTA-Master einen Softwareaktualisierungsstatus und benachrichtigt ein Center über den Softwareaktualisierungsstatus. Infolgedessen kann der Softwareaktualisierungsstatus in einem Fahrzeug in einer Managementinformation des Centers wiedergegeben sein. Eine Ausführungsform der vorliegenden Offenbarung wird im Folgenden unter Bezugnahme auf die Zeichnungen detailliert beschrieben.
Ausführungsform
System konfiguration
1 ist ein Blockdiagramm, das eine Gesamtkonfiguration eines Netzwerksystems gemäß einer Ausführungsform der vorliegenden Offenbarung veranschaulicht. Das in 1 dargestellte Netzwerksystem ist ein System zur Aktualisierung der Software einer Vielzahl von in einem Fahrzeug installierten elektronischen Steuereinheiten 50a bis 50d und hat ein Center 10 außerhalb des Fahrzeugs und ein innerhalb des Fahrzeugs errichtetes fahrzeuginternes Netzwerk 20.
(1) Center
Das Center 10 ist, über ein Netzwerk 100, mit einem später beschriebenen OTA-Master 30 in dem fahrzeuginternen Netzwerk 20 kommunikationsfähig, um Aktualisierungsdaten der elektronischen Steuereinheiten 50a bis 50d zu übermitteln und eine Benachrichtigung über einen Fortschritt eines Softwareaktualisierungsprozesses zu empfangen und dabei die Softwareaktualisierung der mit dem OTA-Master 30 verbundenen elektronischen Steuereinheiten 50a bis 50d zu managen. Das Center 10 hat Funktionen eines sogenannten Servers.
2 ist ein Blockdiagramm, das eine schematische Konfiguration des Centers 10 in 1 veranschaulicht. Wie in 2 dargestellt, weist das Center 10 eine zentrale Verarbeitungseinheit (CPU) 11, einen Speicher mit wahlfreiem Zugriff (RAM) 12, eine Speichervorrichtung 13 und eine Kommunikationsvorrichtung 14 auf. Die Speichervorrichtung 13 hat ein lesbares/schreibbares Speichermedium, wie z. B. ein Festplattenlaufwerk (HDD) oder ein Solid-State-Laufwerk (SSD), und speichert z. B. Programme zum Ausführen des Softwareaktualisierungsmanagements, für das Softwareaktualisierungsmanagement zu verwendende Information(en) und Aktualisierungsdaten für jede elektronische Steuereinheit. In dem Center 10 führt die CPU 11 das aus der Speichervorrichtung 13 gelesene Programm aus, indem sie den RAM 12 als Arbeitsbereich verwendet, um einen vorbestimmten Prozess in Bezug auf die Softwareaktualisierung auszuführen. Die Anzahl der CPU(s) 11 ist nicht auf eine beschränkt. Die Kommunikationsvorrichtung 14 kommuniziert mit dem OTA-Master 30 über das Netzwerk 100.
3 ist ein Funktionsblockdiagramm des in 2 dargestellten Centers 10. Das in 3 dargestellte Center 10 weist einen Speicher 16, einen Kommunikator 17 und einen Steuerer 18 (bzw. Controller 18) auf. Der Speicher 16 wird durch die in 2 dargestellte Speichervorrichtung 13 implementiert. Der Kommunikator 17 und der Steuerer 18 werden von der in 2 dargestellten CPU 11, die die in der Speichervorrichtung 13 gespeicherten Programme unter Verwendung des RAM 12 ausführt, implementiert.
Der Speicher 16 speichert Information(en) in Bezug auf den Softwareaktualisierungsprozess eines oder mehrerer in dem Fahrzeug installierter elektronischer Steuereinheiten. Als die Information(en) in Bezug auf den Softwareaktualisierungsprozess speichert der Speicher 16 zumindest eine Aktualisierungsmanagementinformation, in der Information, die eine für die elektronischen Steuereinheiten 50a bis 50d verfügbare Software anzeigt, mit einer Fahrzeugidentifikationsinformation (Fahrzeug-ID) zur Identifizierung des Fahrzeugs und Softwareaktualisierungsdaten der elektronischen Steuereinheiten 50a bis 50d assoziiert ist. Beispiele für die Information, die die für die elektronischen Steuereinheiten 50a bis 50d verfügbare Software anzeigt, umfassen eine Kombination von Teilen von Information über die neueste Version von Softwareprodukten der elektronischen Steuereinheiten 50a bis 50d. Als die Information(en) in Bezug auf den Softwareaktualisierungsprozess speichert der Speicher 16 auch einen Aktualisierungsstatus, der ein Softwareaktualisierungsstatus ist, die in dem Fahrzeug ausgeführt wird.
Der Kommunikator 17 ist in der Lage, eine Softwareaktualisierungsbestätigungsanfrage von dem OTA-Master 30 zu empfangen. Beispielsweise ist die Aktualisierungsbestätigungsanfrage eine Information, die von dem OTA-Master 30 an das Center 10 zu einem Zeitpunkt, wenn die Stromversorgung oder die Zündung in dem Fahrzeug eingeschaltet wird (im Folgenden als „eingeschaltet“ bezeichnet), zu übermitteln ist, und ist eine Information zum Anfragen an das Center 10, um auf der Grundlage der später beschriebenen Fahrzeugkonfigurationsinformationen zu bestätigen, ob Aktualisierungsdaten der elektronischen Steuereinheiten 50a bis 50d vorliegen. Als Antwort auf die von dem OTA-Master 30 empfangene Aktualisierungsbestätigungsanfrage übermittelt der Kommunikator 17 das Vorhandensein oder Fehlen von/der Aktualisierungsdaten anzeigende Information(en) an den OTA-Master 30. Der Kommunikator 17 ist auch in der Lage, eine Verteilungspaket-Übertragungsanfrage (Download-Anfrage) von dem OTA-Master 30 zu empfangen. Als Antwort auf den Empfang der Verteilungspaket-Download-Anfrage übermittelt der Kommunikator 17, an den OTA-Master 30, ein Verteilungspaket mit den Aktualisierungsdaten der Software der elektronischen Steuereinheiten 50a bis 50d, das von dem später beschriebenen Steuerer 18 erzeugt wird.
Wenn der Kommunikator 17 die Aktualisierungsbestätigungsanfrage von dem OTA-Master 30 empfängt, bestimmt der Steuerer 18 auf der Grundlage der in dem Speicher 16 gespeicherten Aktualisierungsmanagementinformationen, ob Softwareaktualisierungsdaten für die elektronischen Steuereinheiten 50a bis 50d vorliegen, die in dem Fahrzeug installiert sind, das durch die in der Aktualisierungsbestätigungsanfrage enthaltene Fahrzeug-ID identifiziert wird. Ein Ergebnis der von dem Steuerer 18 vorgenommenen Bestimmung darüber, ob Aktualisierungsdaten vorliegen, wird über den Kommunikator 17 an den OTA-Master 30 übermittelt. Wenn die Bestimmung vorgenommen wird, dass Softwareaktualisierungsdaten für die elektronischen Steuereinheiten 50a bis 50d vorliegen und die Verteilungspaket-Download-Anfrage von dem OTA-Master 30 empfangen wird, erzeugt der Steuerer 18 ein Verteilungspaket, das die zugehörigen in dem Speicher 16 gespeicherten Aktualisierungsdaten enthält.
(2) Das fahrzeuginterne Netzwerk
Das fahrzeuginterne Netzwerk 20 weist den OTA-Master 30, die elektronischen Steuereinheiten 50a bis 50d, eine Anzeigevorrichtung 70 und ein Kommunikationsmodul 80 auf. Der OTA-Master 30 und das Kommunikationsmodul 80 sind über einen Bus 60a verbunden. Der OTA-Master 30 und die elektronischen Steuereinheiten 50a und 50b sind über einen Bus 60b miteinander verbunden. Der OTA-Master 30 und die elektronischen Steuereinheiten 50c und 50d sind über einen Bus 60c verbunden. Der OTA-Master 30 und die Anzeigevorrichtung 70 sind über einen Bus 60d miteinander verbunden.
Der OTA-Master 30 kann mit dem Center 10 über den Bus 60a, das Kommunikationsmodul 80 und das Netzwerk 100 drahtlos kommunizieren. Der OTA-Master 30 kann auch mit den elektronischen Steuereinheiten 50a bis 50d und der Anzeigevorrichtung 70 über die Busse 60b bis 60d drahtgebunden kommunizieren. Der OTA-Master 30 ist eine Vorrichtung, die eine Funktion hat, einen OTA-Status zu managen/verwalten, eine Softwareaktualisierungssequenz zu steuern und die Software einer zu aktualisierenden elektronischen Steuereinheit (im Folgenden als „elektronische Ziel-Steuereinheit“ bezeichnet) zu aktualisieren. Der OTA-Master 30 steuert die Softwareaktualisierung der elektronischen Ziel-Steuereinheit unter den elektronischen Steuereinheiten 50a bis 50d, basierend auf, zum Beispiel, den von dem Center 10 über die Kommunikation erfassten Aktualisierungsdaten. Der OTA-Master 30 kann auch als „zentrales Gateway (CGW)“ bezeichnet werden.
4 ist ein Blockdiagramm, das eine schematische Konfiguration des OTA-Masters 30 in 1 darstellt. Wie in 4 dargestellt, weist der OTA-Master 30 eine CPU 31, einen RAM 32, einen Festwertspeicher (ROM) 33, eine Speichervorrichtung 34 und eine Kommunikationsvorrichtung 36 auf. Die CPU 31, der RAM 32, der ROM 33 und die Speichervorrichtung 34 bilden einen Mikrocomputer 35. In dem OTA-Master 30 führt die CPU 31 ein aus dem ROM 33 gelesenes Programm aus, indem sie den RAM 32 als Arbeitsbereich verwendet, um einen vorbestimmten Prozess in Bezug auf die Softwareaktualisierung auszuführen. Die Anzahl der CPU(s) 31 ist nicht auf eine beschränkt. Die Kommunikationsvorrichtung 36 kommuniziert mit dem Kommunikationsmodul 80, den elektronischen Steuereinheiten 50a bis 50d und der Anzeigevorrichtung 70 über die in 1 dargestellten Busse 60a bis 60d. 1.
5 ist ein Funktionsblockdiagramm des in 4 dargestellten OTA-Masters 30. Der in 5 dargestellte OTA-Master 30 hat einen Speicher 37, einen Kommunikator 38, einen Steuerer 39 (bzw. Controller 39), einen Bestimmer 40, einen Anweiser 41, einen Erfasser 42 und einen Ausgeber 43. Der Speicher 37 wird durch die in 4 dargestellte Speichervorrichtung 34 implementiert. Der Kommunikator 38, der Steuerer 39, der Bestimmer 40, der Anweiser 41, der Erfasser 42 und der Ausgeber 43 werden von der in 4 dargestellten CPU 31 implementiert, die in dem ROM 33 gespeicherte Programme unter Verwendung des RAM 32 ausführt.
Der Speicher 37 speichert ein Programm zur Ausführung der Softwareaktualisierung der elektronischen Steuereinheiten 50a bis 50d (Steuerprogramm für den OTA-Master 30), verschiedene Arten von bei der Ausführung der Softwareaktualisierung zu verwendender Daten und Softwareaktualisierungsdaten, die von dem Center 10 heruntergeladen (bzw. downgeloadet) sind. Der Speicher 37 speichert auch ein Protokoll, das sich auf den Softwareaktualisierungsprozess der elektronischen Steuereinheiten 50a bis 50d bezieht und von dem später beschriebenen Ausgeber 43 ausgegeben wird.
Der Kommunikator 38 übermittelt und empfängt Daten, Informationen, Anfragen und ähnliches an und von dem Center 10. Beispielsweise übermittelt der Kommunikator 38 Softwareaktualisierungsbestätigungsanfrage an das Center 10, wenn das Fahrzeug eingeschaltet (EIN) wird. Beispielsweise enthält die Aktualisierungsbestätigungsanfrage die Fahrzeug-ID zur Identifizierung des Fahrzeugs und Informationen über die Softwareversionen der mit dem fahrzeuginternen Netzwerk 20 verbundenen elektronischen Steuereinheiten 50a bis 50d. Die Fahrzeug-ID und die Informationen über die Softwareversionen der elektronischen Steuereinheiten 50a bis 50d werden verwendet, um zu bestimmen, ob Softwareaktualisierungsdaten für die elektronischen Steuereinheiten 50a bis 50d vorliegen, indem ein Vergleich mit den neuesten Softwareversionen, die in dem Center 10 für jede Fahrzeug-ID gespeichert sind, vorgenommen wird. Der Kommunikator 38 empfängt auch eine Benachrichtigung über das Vorhandensein oder Fehlen von/der Aktualisierungsdaten von dem Center 10 als eine Antwort auf die Aktualisierungsbestätigungsanfrage. Wenn Softwareaktualisierungsdaten für die elektronischen Steuereinheiten 50a bis 50d vorliegen, fungiert der Kommunikator 38 als ein Empfänger, der eingerichtet ist, um eine Download-Anfrage für ein Verteilungspaket mit den Aktualisierungsdaten an das Center 10 zu übermitteln und das von dem Center 10 übermittelte Verteilungspaket zu empfangen (herunterzuladen/downzuloaden). Der Kommunikator 38 fungiert auch als ein erster Sender, der eingerichtet ist, um, an das Center 10, von dem später beschriebenen Erfasser 42 erfasste Softwareaktualisierungsstatus der elektronischen Steuereinheiten 50a bis 50d zu übermitteln. Wenn der Strom aufgrund der Unterbrechung der Stromversorgung oder dergleichen während des Softwareaktualisierungsprozesses ausgeschaltet ist/wird (im Folgenden als „ausgeschaltet“ bezeichnet), kann der Kommunikator 38 als ein zweiter Sender, der eingerichtet ist, um eine Download-Anfrage oder eine Download-Neustart-Anfrage für das Verteilungspaket an das Center 10 zu übermitteln, fungieren.
Der Steuerer 39 bestimmt, ob die Softwareaktualisierungsdaten für die elektronischen Steuereinheiten 50a bis 50d vorliegen, auf der Grundlage der Antwort auf die Aktualisierungsbestätigungsanfrage, die von dem Center 10 durch den Kommunikator 38 empfangen wird. Der Steuerer 39 überprüft auch eine Authentizität des von dem Center 10 über den Kommunikator 38 empfangenen (heruntergeladenen) und in dem Speicher 37 gespeicherten Verteilungspakets. Der Steuerer 39 steuert auch den Softwareaktualisierungsprozess (die Installation oder die Aktivierung) der elektronischen Steuereinheiten 50a bis 50d unter Verwendung der von dem Center 10 empfangenen (heruntergeladenen) Aktualisierungsdaten. Insbesondere überträgt der Steuerer 39 einen oder mehrere Teile der Aktualisierungsdaten, die in dem Verteilungspaket heruntergeladen wurden, auf die elektronische Ziel-Steuereinheit und veranlasst die elektronische Ziel-Steuereinheit, die Aktualisierungssoftware basierend auf den Aktualisierungsdaten zu installieren. Nachdem die Installation abgeschlossen ist, weist der Steuerer 39 die elektronische Ziel-Steuereinheit an, die installierte Aktualisierungssoftware zu aktivieren, d. h. freizugeben. Wenn der Strom aufgrund der Unterbrechung der Stromversorgung oder dergleichen ausgeschaltet (AUS) ist, nachdem der Download der Aktualisierungsdaten abgeschlossen ist, kann der Steuerer 39 den Softwareaktualisierungsprozess wieder/erneut unter Verwendung der heruntergeladenen Aktualisierungsdaten ausführen.
Der Bestimmer 40 bestimmt, ob der Strom aufgrund der Unterbrechung der Stromversorgung oder dergleichen während der Ausführung des Softwareaktualisierungsprozesses (Download, Installation oder Aktivierung) ausgeschaltet ist/wird. Beispielsweise kann die Bestimmung (darüber), ob die Stromversorgung unterbrochen ist, auf der Grundlage eines vorbestimmten Ereignisses erfolgen, wie z. B. eines plötzlichen Spannungsabfalls einer mit einer Fahrzeugbatterie verbundenen Stromversorgungsleitung oder einer anomalen vorherigen Beendigung der Stromversorgung der elektronischen Steuereinheiten, in denen der OTA-Master 30 implementiert ist.
Wenn der Bestimmer 40 bestimmt, dass der Strom aufgrund der Unterbrechung der Stromversorgung oder dergleichen während der Ausführung des Softwareaktualisierungsprozesses ausgeschaltet ist/wird, übermittelt der Anweiser 41 ein Rücksetzsignal an die elektronische Ziel-Steuereinheit zu einem Zeitpunkt, zu dem der Strom wiederhergestellt und wieder eingeschaltet ist/wird. Zum Beispiel ist das Rücksetzsignal eine Anweisung für die elektronische Ziel-Steuereinheit, einen Rollback-Prozess für die Software, deren Aktualisierung nicht in normaler Weise abgeschlossen ist, auszuführen und einen Softwareaktualisierungsstatus [Abschluss der Softwareaktualisierung, Abschluss des Rollback-Prozesses oder einen Fehler (Unmöglichkeit des Rollbacks)] an den OTA-Master 30 zu übermitteln.
Der Erfasser 42 erfasst Information(en) in Bezug auf / über den von der elektronischen Ziel-Steuereinheit auf der Grundlage des Rücksetzsignals übermittelten Softwareaktualisierungsstatus.
Der Ausgeber 43 gibt, an das Protokoll, die Information, die sich auf den Softwareaktualisierungsstatus der elektronischen Ziel-Steuereinheit bezieht und von dem Erfasser 42 erfasst ist, aus. Zum Beispiel gibt der Ausgeber 43 betreffs der elektronischen Ziel-Steuereinheit, deren Softwareaktualisierungsprozess in normaler Weise abgeschlossen ist, obwohl der Strom aufgrund der Unterbrechung der Stromversorgung oder dergleichen während der Ausführung des Softwareaktualisierungsprozesses ausgeschaltet ist, ein Protokoll aus, das anzeigt, dass die Aktualisierung durch einen unregelmäßigen Softwareaktualisierungsprozess abgeschlossen ist.
Die elektronischen Steuereinheiten 50a bis 50d sind Vorrichtungen (ECUs), die eingerichtet sind, Vorgänge einzelner Fahrzeugteile zu steuern. Obwohl die vier elektronischen Steuereinheiten 50a bis 50d in 1 beispielhaft veranschaulicht sind, ist die Anzahl der elektronischen Steuereinheiten nicht besonders beschränkt. Auch die Anzahl der Busse, die die elektronischen Steuereinheiten mit dem OTA-Master 30 verbinden, ist nicht besonders beschränkt.
Die Anzeigevorrichtung 70 ist eine Mensch-Maschine-Schnittstelle (HMI), die für verschiedene Arten der Anzeige verwendet werden kann, wie z. B. die Anzeige von Information, die anzeigt, dass Aktualisierungsdaten während des Softwareaktualisierungsprozesses der elektronischen Steuereinheiten 50a bis 50d vorliegen, die Anzeige eines Annahmeanfragebildschirms zur Anfrage der Annahme der Softwareaktualisierung durch den Anwender oder Administrator des Fahrzeugs und die Anzeige eines Ergebnisses der Softwareaktualisierung. Ein typisches Beispiel für die Anzeigevorrichtung 70 ist eine Anzeigevorrichtung eines Kfz-Navigationssystems. Die Anzeigevorrichtung 70 ist nicht besonders beschränkt, solange die Anzeigevorrichtung 70 die für den Programmaktualisierungsprozess erforderlichen Information(en) anzeigen kann. Eine elektronische Steuereinheit kann ferner zusätzlich zu der Anzeigevorrichtung 70 an den in 1 dargestellten Bus 60d angeschlossen werden.
Das Kommunikationsmodul 80 ist eine Einheit, die eine Funktion zur Steuerung einer Kommunikation zwischen dem Center 10 und dem Fahrzeug aufweist, und ist eine Kommunikationsvorrichtung zur Verbindung des fahrzeuginternen Netzwerks 20 mit dem Center 10. Das Kommunikationsmodul 80 ist über das Netzwerk 100 mit dem Center 10 drahtlos verbunden, damit der OTA-Master 30 das Fahrzeug authentifiziert und Aktualisierungsdaten herunterlädt/downloadet. Das Kommunikationsmodul 80 kann in dem OTA-Master 30 integriert sein.
Überblick über den Softwareaktualisierungsprozess
Beispielsweise übermittelt der OTA-Master 30 eine Softwareaktualisierungsbestätigungsanfrage an das Center 10, wenn das Fahrzeug eingeschaltet (EIN) wird. Die Aktualisierungsbestätigungsanfrage enthält die Fahrzeug-ID zur Identifizierung des Fahrzeugs und Fahrzeugkonfigurationsinformation(en) in Bezug auf die Status der elektronischen Steuereinheiten (Systemkonfiguration), wie z. B. Hardware- und Softwareversionen der mit dem fahrzeuginternen Netzwerk 20 verbundenen elektronischen Steuereinheiten 50a bis 50d. Die Fahrzeugkonfigurationsinformation kann durch eine Erfassung der Identifikationsnummern der elektronischen Steuereinheiten (ECU_IDs) und der Identifikationsnummern der Softwareversionen der elektronischen Steuereinheiten (ECU_Software_IDs) von den mit dem fahrzeuginternen Netzwerk 20 verbundenen elektronischen Steuereinheiten 50a bis 50d erstellt werden. Die Fahrzeug-ID und die Softwareversionen der elektronischen Steuereinheiten 50a bis 50d werden verwendet, um zu bestimmen, ob die Softwareaktualisierungsdaten für die elektronischen Steuereinheiten 50a bis 50d vorliegen, indem sie mit den neuesten Softwareversionen, die in dem Center 10 für jede Fahrzeug-ID gespeichert sind, verglichen werden. Der OTA-Master 30 empfängt von dem Center 10 eine Benachrichtigung über das Vorhandensein oder Fehlen von/der Aktualisierungsdaten als eine Antwort auf die Aktualisierungsbestätigungsanfrage. Wenn die Softwareaktualisierungsdaten für die elektronischen Steuereinheiten 50a bis 50d vorliegen, übermittelt der OTA-Master 30 eine Verteilungspaket-Download-Anfrage an das Center 10 und empfängt ein von dem Center 10 übermitteltes Verteilungspaket. Das Verteilungspaket kann, zusätzlich zu den Aktualisierungsdaten, Verifizierungsdaten zur Überprüfung der Authentizität der Aktualisierungsdaten, die Anzahl der Teile der Aktualisierungsdaten, die Reihenfolge der Installation, die Reihenfolge der Aktivierung, Typinformation und verschiedene Arten von Steuerinformation, die während der Softwareaktualisierung zu verwenden sind, enthalten.
Der OTA-Master 30 stellt basierend auf der Antwort auf die von dem Center 10 empfangene Aktualisierungsbestätigungsanfrage fest, ob (die) Softwareaktualisierungsdaten für die elektronischen Steuereinheiten 50a bis 50d vorliegen. Der OTA-Master 30 überprüft die Authentizität des von dem Center 10 empfangenen und in der Speichervorrichtung 34 gespeicherten Verteilungspakets. Der OTA-Master 30 übermittelt einen oder mehrere Teile der in dem Verteilungspaket heruntergeladenen Aktualisierungsdaten an die elektronische Ziel-Steuereinheit und veranlasst die elektronische Ziel-Steuereinheit, die aktualisierte Softwareversion auf der Grundlage der Aktualisierungsdaten zu installieren. Nach Abschluss der Installation weist der OTA-Master 30 die elektronische Ziel-Steuereinheit an, die installierte aktualisierte Version der Software zu aktivieren.
In einem Annahmeanfrageprozess veranlasst der OTA-Master 30 eine Ausgabevorrichtung, eine Benachrichtigung auszugeben, dass eine Annahme für die Softwareaktualisierung erforderlich ist, sowie eine Benachrichtigung, die den Anwender auffordert, die Annahme für die Softwareaktualisierung einzugeben. Beispiele für die Ausgabevorrichtung sind die Anzeigevorrichtung 70 in dem fahrzeuginternen Netzwerk 20 und eine Audioausgabevorrichtung, die Benachrichtigungen per Sprache oder Ton ausgibt. Wenn beispielsweise die Anzeigevorrichtung 70 als die Ausgabevorrichtung in dem Annahmeanfrageprozess verwendet wird, kann der OTA-Master 30 veranlassen, dass die Anzeigevorrichtung 70 einen Annahmeanfragebildschirm anzeigt, um die Annahme der Softwareaktualisierung anzufragen, und eine Benachrichtigung anzeigt, die den Anwender oder Administrator auffordert, einen bestimmten Eingabevorgang wie das Drücken einer Annahmetaste bei der Annahme der Softwareaktualisierung durchzuführen. Bei dem Annahmeanfrageprozess kann der OTA-Master 30 die Anzeigevorrichtung 70 veranlassen, Texte, Symbole oder dergleichen anzuzeigen, um mitzuteilen, dass die Softwareaktualisierungsdaten für die elektronischen Steuereinheiten 50a bis 50d vorliegen, und um Einschränkungen während der Ausführung des Softwareaktualisierungsprozesses anzuzeigen. Als Antwort auf den Empfang der Eingabe über die Annahme des Anwenders oder Administrators führt der OTA-Master 30 einen Steuerprozess für die Installation und Aktivierung zur Aktualisierung der Software der elektronischen Ziel-Steuereinheit aus.
Wenn ein nicht-flüchtiger Speicher der elektronischen Steuereinheit eine Einfach-Speicherbank mit einem (einzigen) Speicherbereich für die Speicherung des Programms ist, werden die Installation und die Aktivierung nacheinander ausgeführt. Daher wird der Annahmeanfrageprozess für die Softwareaktualisierung vor der Installation ausgeführt. Wenn der nicht-flüchtige Speicher der elektronischen Steuereinheit eine Dual-Speicherbank mit zwei Speicherbereichen zum Speichern des Programms ist, wird der Annahmeanfrageprozess für die Softwareaktualisierung zumindest nach der Installation und vor der Aktivierung ausgeführt. Wenn der nicht-flüchtige Speicher der elektronischen Steuereinheit die Dual-Speicherbank ist, kann der Annahmeanfrageprozess für die Softwareaktualisierung vor der Installation ausgeführt oder ausgelassen werden.
Der Softwareaktualisierungsprozess umfasst eine Phase, in der der OTA-Master 30 die Aktualisierungsdaten von dem Center 10 herunterlädt/downloadet (Download-Phase), eine Phase, in der der OTA-Master 30 die heruntergeladenen Aktualisierungsdaten an die elektronische Ziel-Steuereinheit überträgt und die Aktualisierungsdaten (die aktualisierte Version der Software) in dem Speicherbereich der elektronischen Ziel-Steuereinheit installiert (Installationsphase), und eine Phase, in der die elektronische Ziel-Steuereinheit die installierte aktualisierte Version der Software freigibt(Aktivierungsphase).
Der Download (bzw. das Herunterladen) ist ein Prozess, bei dem der OTA-Master 30 die Softwareaktualisierungsdaten für die elektronischen Steuereinheiten 50a bis 50d, die von dem Center 10 in Form des Verteilungspakets übermittelt werden, empfängt und die Aktualisierungsdaten in der Speichervorrichtung 34 speichert. Die Download-Phase enthält nicht nur die Durchführung des Downloads, sondern auch die Steuerung einer Reihe von Prozessen in Bezug auf den Download, wie z. B. eine Bestimmung (darüber), ob der Download ausgeführt werden kann, eine Anfrage an den Anwender oder Administrator des Fahrzeugs, den Download anzunehmen, und eine Überprüfung der aktualisierten Daten.
Die von dem Center 10 an den OTA-Master 30 übermittelten Aktualisierungsdaten können die Aktualisierungssoftware für die elektronischen Steuereinheiten 50a bis 50d, komprimierte Daten der Aktualisierungssoftware oder geteilte Daten der Aktualisierungssoftware oder der komprimierten Daten enthalten. Die Aktualisierungsdaten können eine ECU_ID (oder Seriennummer) der elektronischen Ziel-Steuereinheit und eine ECU_Software_ID der elektronischen Steuereinheit vor der Aktualisierung enthalten. Die Aktualisierungsdaten werden als das Verteilungspaket heruntergeladen. Das Verteilungspaket enthält die Aktualisierungsdaten für die eine oder die mehreren elektronischen Steuereinheiten.
Die Installation ist ein Prozess, bei dem der OTA-Master 30 die Aktualisierungssoftware (aktualisiertes Versionsprogramm) auf der Grundlage der von dem Center 10 heruntergeladenen Aktualisierungsdaten auf die elektronische Ziel-Steuereinheit schreibt. Die Installationsphase umfasst nicht nur die Ausführung der Installation, sondern auch eine Steuerung einer Reihe von Prozessen in Bezug auf die Installation, z. B. eine Bestimmung, ob die Installation ausgeführt werden kann, eine Anfrage an den Anwender oder Administrator des Fahrzeugs, die Installation anzunehmen, eine Übertragung der Aktualisierungsdaten und eine Überprüfung der Aktualisierungssoftware.
Wenn die Aktualisierungsdaten die Aktualisierungssoftware enthalten, überträgt der OTA-Master 30 die Aktualisierungsdaten (Aktualisierungssoftware) in der Installationsphase an die elektronische Ziel-Steuereinheit. Wenn die Aktualisierungsdaten komprimierte Daten, Differenzdaten oder geteilte Daten der Aktualisierungssoftware enthalten, kann der OTA-Master 30 die Aktualisierungsdaten an die elektronische Ziel-Steuereinheit übertragen und kann die elektronische Ziel-Steuereinheit die Aktualisierungssoftware aus den Aktualisierungsdaten erzeugen. Alternativ kann der OTA-Master 30 die Aktualisierungssoftware aus den Aktualisierungsdaten generieren und dann die Aktualisierungssoftware an die elektronische Ziel-Steuereinheit übertragen. Die Aktualisierungssoftware kann durch ein Dekomprimieren der komprimierten Daten oder ein Zusammensetzen (Integrieren) der Differenzdaten oder der geteilten Daten erzeugt werden.
Die Aktualisierungssoftware kann von der elektronischen Ziel-Steuereinheit auf der Grundlage einer Installationsanfrage (oder -anweisung) von dem OTA-Master 30 (oder dem Center 10) installiert werden. Alternativ kann die (jenige) elektronische Ziel-Steuereinheit, die die Aktualisierungsdaten erhalten hat, die Installation autonom ausführen, ohne eine ausdrückliche Anweisung von dem OTA-Master 30 zu erhalten.
Die Aktivierung ist ein Prozess, bei dem die elektronische Ziel-Steuereinheit die installierte Aktualisierungssoftware freigibt (aktiviert). Die Aktivierungsphase umfasst nicht nur die Ausführung der Aktivierung, sondern auch eine Reihe von Kontrollen in Bezug auf die Aktivierung, wie z. B. eine Bestimmung (darüber), ob die Aktivierung ausgeführt werden kann, eine Anfrage an den Anwender oder Administrator des Fahrzeugs, die Aktivierung anzunehmen, und eine Überprüfung des Ausführungsergebnisses.
Die Aktualisierungssoftware kann von der elektronischen Ziel-Steuereinheit auf der Grundlage einer Aktivierungsanfrage (oder Anweisung) von dem OTA-Master 30 (oder dem Center 10) aktiviert werden. Alternativ kann die(jenige) elektronische Ziel-Steuereinheit, die die Aktualisierungsdaten erhalten hat, die Aktivierung nach Abschluss der Installation autonom ausführen, ohne eine ausdrückliche Anweisung von dem OTA-Master 30 zu erhalten.
Die Softwareaktualisierung kann nacheinander/sukzessiv oder parallel für die elektronischen Steuereinheiten ausgeführt werden.
Der hier beschriebene „Softwareaktualisierungsprozess“ umfasst nicht nur einen Prozess einer sukzessiven Ausführung gesamthaft des Downloads, der Installation und der Aktivierung, sondern auch einen Prozess einer Ausführung nur eines Teils des Downloads, der Installation und der Aktivierung.
Prozesse
Nachfolgend werden die in dem Netzwerksystem gemäß der vorliegenden Ausführungsform auszuführenden Prozesse auch unter Bezugnahme auf die 6 und 7 beschrieben.
6 ist ein Flussdiagramm, das ein Verfahren eines von dem OTA-Master 30 auszuführenden Softwareaktualisierungssteuerungsprozesses veranschaulicht. Der in 6 dargestellte Softwareaktualisierungssteuerungsprozess wird beispielsweise ausgeführt, wenn das Fahrzeug eingeschaltet ist/wird.
Schritt S601
Der Bestimmer 40 des OTA-Masters 30 bestimmt, ob die Stromversorgung der elektronischen Steuereinheiten 50a bis 50d während der Ausführung des Softwareaktualisierungssteuerungsprozesses unterbrochen ist/wird. Insbesondere wird die Bestimmung vorgenommen, ob die Stromversorgung zuvor aufgrund der Unterbrechung der Stromversorgung ausgeschaltet (AUS) worden ist. Wenn die Bestimmung vorgenommen ist/wird, dass die Stromversorgung nicht unterbrochen ist (NEIN in Schritt S601), fährt der Prozess mit Schritt S602 fort, um den normalen Softwareaktualisierungsprozess auszuführen. Wenn die Bestimmung vorgenommen ist/wird, dass die Stromversorgung unterbrochen ist (JA in Schritt S601), fährt der Prozess mit Schritt S608 fort, um den Softwareaktualisierungssteuerungsprozess für einen anomalen Fall auszuführen.
Schritt S602
Der Kommunikator 38 des OTA-Masters 30 übermittelt, an das Center 10, eine Bestätigungsanfrage (darüber), ob Softwareaktualisierungsdaten für die elektronischen Steuereinheiten 50a bis 50d vorliegen. Diese Bestätigungsanfrage enthält Informationen über eine Kombination aus der Fahrzeug-ID und den Softwareversionen der elektronischen Steuereinheiten 50a bis 50d. Wenn die Bestätigungsanfrage an das Center 10 übermittelt ist/wird, fährt der Prozess mit Schritt S603 fort.
Schritt S603
Der Kommunikator 38 des OTA-Masters 30 empfängt von dem Center 10 ein Bestätigungsergebnis für die Aktualisierungsdaten-Bestätigungsanfrage. Wenn das Bestätigungsergebnis empfangen ist/wird, fährt der Prozess mit Schritt S604 fort.
Schritt S604
Der Steuerer 39 des OTA-Masters 30 bestimmt auf der Grundlage des Bestätigungsergebnisses für die Aktualisierungsdaten-Bestätigungsanfrage, das von dem Kommunikator 38 empfangen ist/wird, ob Softwareaktualisierungsdaten für mindestens eine der elektronischen Steuereinheiten 50a bis 50d vorliegen. Wenn mindestens ein Teil der Softwareaktualisierungsdaten vorliegt (JA in Schritt S604), fährt der Prozess mit Schritt S605 fort. Wenn keine Softwareaktualisierungsdaten vorliegen (NEIN in Schritt S604), ist/wird der Softwareaktualisierungssteuerungsprozess beendet.
Schritt S605
Der Steuerer 39 des OTA-Masters 30 lädt die Aktualisierungsdaten herunter. Genauer gesagt übermittelt der Kommunikator 38 des OTA-Masters 30 eine Verteilungspaket-Download-Anfrage an das Center 10 und empfängt ein als Antwort auf die Download-Anfrage übermitteltes Verteilungspaket. Der Kommunikator 38 speichert das empfangene Verteilungspaket in dem Speicher 37 des OTA-Masters 30. Der Steuerer 39 überprüft die Authentizität der in dem empfangenen Verteilungspaket enthaltenen Aktualisierungsdaten. In Schritt S605 kann der Steuerer 39, vor dem Download, bestimmen, ob der Download ausgeführt werden kann, und kann der Kommunikator 38, nach Abschluss des Downloads, eine Benachrichtigung über den Abschluss des Downloads an das Center 10 übermitteln. Wenn die Aktualisierungsdaten heruntergeladen sind/werden, fährt der Prozess mit Schritt S606 fort.
Schritt S606
Der Steuerer 39 des OTA-Masters 30 führt einen Installationsprozess für die elektronische Ziel-Steuereinheit aus. Genauer gesagt, überträgt der Steuerer 39 die Aktualisierungsdaten in dem Verteilungspaket an die elektronische Ziel-Steuereinheit und weist die elektronische Ziel-Steuereinheit an, die Aktualisierungsdaten (die aktualisierte Version der Software) zu installieren. Die elektronische Ziel-Steuereinheit schreibt die von dem OTA-Master 30 empfangenen Aktualisierungsdaten (die aktualisierte Version der Software) auf/in den Datenspeicherbereich. Wenn der Installationsprozess ausgeführt ist/wird, fährt der Prozess mit Schritt S607 fort.
Schritt S607
Der Steuerer 39 des OTA-Masters 30 führt einen Aktivierungsprozess für die elektronische Ziel-Steuereinheit aus. Genauer gesagt weist der Steuerer 39 die (jenige) elektronische Ziel-Steuereinheit, die über den Datenspeicherbereich verfügt, in den die Aktualisierungsdaten (die aktualisierte Version der Software) geschrieben worden sind, an, die aktualisierte Version der Software zu aktivieren. Die elektronische Ziel-Steuereinheit wird erneut/neu gestartet und führt die aktualisierte Software aus, wenn ein bestimmter Eingabevorgang, wie z. B. das Ausschalten (AUS), durchgeführt wird. Wenn der Aktivierungsprozess ausgeführt ist/wird, wird der Softwareaktualisierungssteuerungsprozess beendet.
Schritt S608
Der OTA-Master 30 führt den Softwareaktualisierungsprozess aus, wenn der Strom wieder eingeschaltet ist/wird, nachdem er aufgrund der Unterbrechung der Stromversorgung ausgeschaltet ist/wird (Softwareaktualisierungssteuerungsprozess für den anomalen Fall). Wenn der Softwareaktualisierungssteuerungsprozess für den anomalen Fall ausgeführt ist/wird, ist/wird der Softwareaktualisierungssteuerungsprozess beendet.
Der Softwareaktualisierungsprozess für den anomalen Fall in Schritt S608 von 6 wird unter Bezugnahme auf 7 beschrieben. 7 ist ein Flussdiagramm, das ein Verfahren des von dem OTA-Master 30 in Schritt S608 von 6 auszuführenden Softwareaktualisierungssteuerungsprozesses, wenn die Stromversorgung in der Reihe der Prozesse unterbrochen ist, veranschaulicht.
Schritt S701
Der Steuerer 39 des OTA-Masters 30 bestimmt, ob der Download der Aktualisierungsdaten noch nicht begonnen worden ist. Das heißt, es wird die Bestimmung vorgenommen darüber, ob der Download der Aktualisierungsdaten zu dem Zeitpunkt, zu dem die Stromversorgung unterbrochen wird, noch nicht begonnen / gestartet worden ist (die Softwareaktualisierung noch nicht begonnen worden ist). Wenn der Strom aufgrund der Unterbrechung der Stromversorgung ausgeschaltet (AUS) ist, aber der Download der Aktualisierungsdaten noch nicht begonnen worden ist/hat, unterscheiden sich die Softwareaktualisierungsstatus innerhalb der elektronischen Ziel-Steuereinheiten nicht und entspricht der Softwareaktualisierungsstatus in dem Fahrzeug dem von dem Center 10 gemanagten Softwareaktualisierungsstatus. Wenn der Download der Aktualisierungsdaten noch nicht begonnen/gestartet worden ist (JA in Schritt S701), fährt der Prozess mit Schritt S707 fort. Wenn der Download der Aktualisierungsdaten begonnen/gestartet worden ist (NEIN in Schritt S701), fährt der Prozess mit Schritt S702 fort.
Schritt S702
Der Anweiser 41 des OTA-Masters 30 übermittelt ein Rücksetzsignal an die elektronische Ziel-Steuereinheit. Das Rücksetzsignal ist eine Anweisung an die elektronische Ziel-Steuereinheit, einen Rollback-Prozess für die Software, deren Aktualisierung nicht in normaler Weise abgeschlossen ist, durchzuführen und den Softwareaktualisierungsstatus zu übermitteln. Wenn das Rücksetzsignal übermittelt ist/wird, fährt der Prozess mit Schritt S703 fort.
Schritt S703
Der Erfasser 42 des OTA-Masters 30 erfasst den Softwareaktualisierungsstatus von der (jenigen) elektronischen Ziel-Steuereinheit, die das Rücksetzsignal empfangen hat. Wenn der Softwareaktualisierungsstatus erfasst ist/wird, fährt der Prozess mit Schritt S704 fort.
Schritt S704
Der Kommunikator 38 des OTA-Masters 30 übermittelt an das Center 10 auf den Softwareaktualisierungsstatus der elektronischen Steuereinheit bezogene und von dem Erfasser 42 erfasste Information(en). Wenn die Information über den Softwareaktualisierungsstatus an das Center 10 übermitteln ist/wird, fährt der Prozess mit Schritt S705 fort.
Schritt S705
Der Ausgeber 43 des OTA-Masters 30 gibt die auf den Softwareaktualisierungsstatus der elektronischen Steuereinheit bezogene und von dem Erfasser 42 erfasste Information an das Protokoll aus. Dieses Protokoll wird in dem Speicher 37 des OTA-Masters 30 gespeichert. Wenn die auf den Softwareaktualisierungsstatus bezogene Information an das Protokoll ausgegeben ist/wird, fährt der Prozess mit Schritt S706 fort.
Schritt S706
Der Steuerer 39 des OTA-Masters 30 bestimmt, wie der Softwareaktualisierungsstatus im Falle der Unterbrechung der Stromversorgung ist. Wenn der Softwareaktualisierungsstatus im Falle der Unterbrechung der Stromversorgung das Downloaden der Aktualisierungsdaten („Während Download“ in Schritt S706) ist, fährt der Prozess mit Schritt S707 fort. Wenn der Softwareaktualisierungsstatus im Falle der Unterbrechung der Stromversorgung nach Abschluss des Downloadens der Aktualisierungsdaten („Download abgeschlossen“ in Schritt S706) ist/wird, fährt der Prozess mit Schritt S708 fort.
Schritt S707
Der Steuerer 39 des OTA-Masters 30 bestimmt, dass der Download der Aktualisierungsdaten unvollständig ist, und lädt die Aktualisierungsdaten herunter. Genauer gesagt übermittelt der Kommunikator 38 des OTA-Masters 30 eine Download-Anfrage oder eine Download-Neustart-Anfrage für das Verteilungspaket an das Center 10 und empfängt das als Antwort auf die Download-Anfrage oder die Download-Neustart-Anfrage übermittelte Verteilungspaket. Der Kommunikator 38 speichert das empfangene Verteilungspaket in dem Speicher 37 des OTA-Masters 30. Der Steuerer 39 prüft die Authentizität der in dem empfangenen Verteilungspaket enthaltenen Aktualisierungsdaten. Wenn die Aktualisierungsdaten heruntergeladen sind/werden, fährt der Prozess mit Schritt S708 fort.
Schritt S708
Der Steuerer 39 des OTA-Masters 30 führt den Installationsprozess für die elektronische Ziel-Steuereinheit aus. Genauer gesagt überträgt der Steuerer 39 die Aktualisierungsdaten in dem ursprünglich heruntergeladenen oder erneut heruntergeladenen Verteilungspaket an die elektronische Ziel-Steuereinheit und weist die elektronische Ziel-Steuereinheit an, die Aktualisierungsdaten (die aktualisierte Version der Software) zu installieren. Die elektronische Ziel-Steuereinheit schreibt die von dem OTA-Master 30 empfangenen Aktualisierungsdaten (die aktualisierte Version der Software) an/in den Datenspeicherbereich. Wenn der Installationsprozess ausgeführt ist/wird, fährt der Prozess mit Schritt S709 fort.
Schritt S709
Der Steuerer 39 des OTA-Masters 30 führt den Aktivierungsprozess für die elektronische Ziel-Steuereinheit aus. Genauer gesagt weist der Steuerer 39 die (jenige) elektronische Ziel-Steuereinheit, die die Aktualisierungsdaten auf/in den Datenspeicherbereich geschrieben hat, an, die aktualisierte Version der Software zu aktivieren. Die elektronische Ziel-Steuereinheit wird erneut gestartet und führt die aktualisierte Software aus, wenn ein bestimmter Eingabevorgang, wie z. B. das AUSschalten, durchgeführt wird. Wenn der Aktivierungsprozess ausgeführt ist/wird, ist/wird der Softwareaktualisierungssteuerungsprozess für den anomalen Fall beendet.
In dem Softwareaktualisierungssteuerungsprozess für den anomalen Fall (7), (der) auszuführen (ist), wenn der Strom aufgrund der Unterbrechung der Stromversorgung ausgeschaltet (AUS) ist, wird das Beispiel beschrieben, in dem die Download-, Installations- und Aktivierungsprozesse in den Schritten S707 bis S709 erneut gestartet werden, nachdem der Strom wiederhergestellt ist. Anstatt die Prozesse (Schritte S707 bis S709) unmittelbar nach der Wiederherstellung des Stroms erneut zu starten, können die Prozesse durch den Softwareaktualisierungssteuerungsprozess für den normalen Fall (6) als Antwort auf einen nächsten normalen Betrieb (wie z. B. das EINschalten) erneut gestartet werden. Zu diesem Zeitpunkt können die Prozesse nur dann erneut gestartet werden, wenn die Fahrzeugkonfigurationsinformation normal ist (zum Beispiel, wenn der Rollback auf den normalen Zustand ausgeführt ist/wird). Der Neustart kann nach Einholung der Annahme/Zustimmung des Anwenders oder Administrators über die Anzeigevorrichtung 70 erfolgen. Insbesondere dann, wenn der Installationsprozess aufgrund der Unterbrechung der Stromversorgung unterbrochen ist/wird, werden die Prozesse nach der Ausführung des Rollbacks auf einen Zustand vor dem Installationsprozess fortgesetzt, und dann wird der Anwender oder Administrator aufgefordert, zu bestätigen, dass der Installationsprozess gestartet werden wird/soll. Auf diese Weise ist es möglich, eine Benachrichtigung und eine Genehmigungsanfrage über den Installationsprozess zu geben und gleichzeitig die Sicherheit zu gewährleisten sowie den Softwareaktualisierungsprozess zu einem von dem Anwender oder Administrator gewünschten Zeitpunkt erneut zu starten.
Wirkungen
Wie oben beschrieben, erfasst der OTA-Master 30 gemäß der Ausführungsform der vorliegenden Offenbarung den Softwareaktualisierungsstatus und benachrichtigt das Center 10 über den Softwareaktualisierungsstatus, wenn der Strom aufgrund der Unterbrechung der Stromversorgung oder dergleichen während des Softwareaktualisierungsprozesses ausgeschaltet und dann wieder eingeschaltet ist/wird. Infolgedessen kann sich der Softwareaktualisierungsstatus in dem Fahrzeug in der Managementinformation in dem Center 10 widerspiegeln/zeigen.
Wenn die Softwareaktualisierung in normaler Weise abgeschlossen ist, obwohl der Strom aufgrund der Unterbrechung der Stromversorgung oder dergleichen während des Softwareaktualisierungsprozesses ausgeschaltet ist/wird, zeichnet der OTA-Master 30 gemäß der vorliegenden Ausführungsform ein Protokoll auf, das dieses Ereignis anzeigt. Somit ist es möglich zu verstehen, wie die Software aktualisiert wird, wenn der Softwareaktualisierungsprozess untersucht werden muss.
Der OTA-Master 30 gemäß der vorliegenden Ausführungsform kann den Fortschritt des Softwareaktualisierungsprozesses durch ein automatisches erneutes Downloaden oder ein Wiederaufnehmen des Downloadens der Aktualisierungsdaten auf einen Zustand/Stand vor der Unterbrechung der Stromversorgung zurücksetzen.
Der OTA-Master 30 gemäß der vorliegenden Ausführungsform kann die Software der elektronischen Steuereinheiten 50a bis 50d in einen konsistenten und aktuellen Zustand bringen, indem er den Softwareaktualisierungsprozess unter Verwendung der Aktualisierungsdaten erneut ausführt.
Obwohl die Ausführungsform der Technologie der vorliegenden Offenbarung oben beschrieben wurde, kann die vorliegende Offenbarung nicht nur als der OTA-Master verstanden werden, sondern beispielsweise auch als ein von einem OTA-Master mit einem Prozessor, einem Speicher und einer Speichervorrichtung auszuführendes Aktualisierungssteuerungsverfahren, ein Aktualisierungssteuerungsprogramm oder ein nicht-transitorischen, computerlesbares Speichermedium, das das Aktualisierungssteuerungsprogramm speichert.
Die Technologie der vorliegenden Offenbarung kann in einem Netzwerksystem zur Aktualisierung der Software einer elektronischen Steuereinheit verwendet werden.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

JP 2018181377 A [0004]

Claims

Over-the-Air (OTA)-Master (30) mit einem oder mehreren Prozessoren, die eingerichtet sind, um: Aktualisierungsdaten für eine Software einer in einem Fahrzeug installierten elektronischen Steuereinheit (50a, 50b, 50c, 50d) von einem Center (10) zu downloaden; einen Softwareaktualisierungsprozess der elektronischen Steuereinheit (50a, 50b, 50c, 50d) unter Verwendung der Aktualisierungsdaten zu steuern; zu bestimmen, ob eine Stromversorgung der elektronischen Steuereinheit (50a, 50b, 50c, 50d) während einer Ausführung des Softwareaktualisierungsprozesses unterbrochen ist; und einen Aktualisierungsstatus der Software der elektronischen Steuereinheit (50a, 50b, 50c, 50d) an das Center (10) bei der Bestimmung, dass die Stromversorgung während der Ausführung des Softwareaktualisierungsprozesses unterbrochen ist, zu übermitteln.
OTA-Master (30) nach Anspruch 1, wobei der eine oder die mehreren Prozessoren eingerichtet sind, um den Aktualisierungsstatus der Software von der elektronischen Steuereinheit (50a, 50b, 50c, 50d) bei der Bestimmung, dass die Stromversorgung während der Ausführung des Softwareaktualisierungsprozesses unterbrochen ist, zu erfassen.
OTA-Master (30) nach Anspruch 2, wobei der eine oder die mehreren Prozessoren eingerichtet sind, um die elektronische Steuereinheit (50a, 50b, 50c, 50d) bei der Bestimmung, dass die Stromversorgung während der Ausführung des Softwareaktualisierungsprozesses unterbrochen ist, anzuweisen, den Softwareaktualisierungsprozess nach Wiederherstellung der Stromversorgung zurückzusetzen.
OTA-Master (30) nach Anspruch 2 oder 3, wobei der eine oder die mehreren Prozessoren eingerichtet sind, um, wenn sie Informationen erfassen, die anzeigen, dass als der Aktualisierungsstatus der Software der elektronischen Steuereinheit (50a, 50b, 50c, 50d) der Softwareaktualisierungsprozess in normaler Weise abgeschlossen ist, ein Protokoll auszugeben, das anzeigt, dass die Software der elektronischen Steuereinheit (50a, 50b, 50c, 50d) durch einen Softwareaktualisierungsprozess, der sich von einer normalen Softwareaktualisierung unterscheidet, aktualisiert ist.
OTA-Master (30) nach einem der Ansprüche 1 bis 4, wobei der eine oder die mehreren Prozessoren eingerichtet sind, um eine Download-Anfrage oder eine Download-Neustart-Anfrage für die Aktualisierungsdaten an das Center (10) bei der Bestimmung, dass die Stromversorgung während des Downloads der Aktualisierungsdaten unterbrochen ist, zu übermitteln.
OTA-Master (30) nach einem der Ansprüche 1 bis 5, wobei der eine oder die mehreren Prozessoren eingerichtet sind, um den Softwareaktualisierungsprozess bei der Bestimmung, dass die Stromversorgung nach dem Download der Aktualisierungsdaten und nach dem Start des Softwareaktualisierungsprozesses unterbrochen ist, zu starten.
Aktualisierungssteuerungsverfahren, das von einem Over-the-Air (OTA)-Master (30) mit einem oder mehreren Prozessoren (31), einem Speicher (32, 33) und einer Speichervorrichtung (34) auszuführen ist, wobei das Aktualisierungssteuerungsverfahren umfasst: Downloaden von Aktualisierungsdaten für eine Software einer in einem Fahrzeug installierten elektronischen Steuereinheit (50a, 50b, 50c, 50d) von einem Center (10); Steuern eines Softwareaktualisierungsprozesses der elektronischen Steuereinheit (50a, 50b, 50c, 50d) unter Verwendung der Aktualisierungsdaten; Bestimmen, ob eine Stromversorgung der elektronischen Steuereinheit (50a, 50b, 50c, 50d) während einer Ausführung des Softwareaktualisierungsprozesses unterbrochen ist; und Übermitteln eines Aktualisierungsstatus der Software der elektronischen Steuereinheit (50a, 50b, 50c, 50d) an das Center (10) bei der Bestimmung, dass die Stromversorgung während der Ausführung des Softwareaktualisierungsprozesses unterbrochen ist.
Nicht-transitorisches Speichermedium, das ein Aktualisierungssteuerungsprogramm speichert, das von einem Computer (35) eines Over-the-Air (OTA)-Masters (30) mit einem oder mehreren Prozessoren (31), einem Speicher (32, 33) und einer Speichervorrichtung (34) ausführbar ist und das den Computer (35) veranlasst, Funktionen auszuführen, die umfassen: Downloaden von Aktualisierungsdaten für eine Software einer in einem Fahrzeug installierten elektronischen Steuereinheit (50a, 50b, 50c, 50d) von einem Center (10); Steuern eines Softwareaktualisierungsprozesses der elektronischen Steuereinheit (50a, 50b, 50c, 50d) unter Verwendung der Aktualisierungsdaten; Bestimmen, ob eine Stromversorgung der elektronischen Steuereinheit (50a, 50b, 50c, 50d) während einer Ausführung des Softwareaktualisierungsprozesses unterbrochen ist; und Übermitteln eines Aktualisierungsstatus der Software der elektronischen Steuereinheit (50a, 50b, 50c, 50d) an das Center (10) bei der Bestimmung, dass die Stromversorgung während der Ausführung des Softwareaktualisierungsprozesses unterbrochen ist.