DE102022106827A1

DE102022106827A1 - Zentrum, verteilungssteuerverfahren und nicht-transitorisches speichermedium

Info

Publication number: DE102022106827A1
Application number: DE102022106827.7A
Authority: DE
Inventors: Shoichi NAGAMITSU
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2021-04-01
Filing date: 2022-03-23
Publication date: 2022-10-06
Also published as: US11995437B2; JP2022158323A; US20220318003A1; CN115208867A

Abstract

Ein Zentrum, das so konfiguriert ist, dass es mit einem Fahrzeug kommuniziert, weist einen oder mehrere Prozessoren (11) auf. Die Prozessoren (11) sind so konfiguriert, dass sie eine Aktualisierungsaufzeichnung von Software einer elektronischen Steuereinheit, die an dem Fahrzeug angebracht ist, speichern. Die Prozessoren (11) sind so konfiguriert, dass sie eine gegenwärtige Version der Software der elektronischen Steuereinheit von dem Fahrzeug empfangen. Die Prozessoren (11) sind so konfiguriert, dass sie bestimmen, ob die empfangene gegenwärtige Version mit einer Version einer letzten Aktualisierung, die in der Aktualisierungsaufzeichnung aufgezeichnet ist, übereinstimmt. Die Prozessoren (11) sind so konfiguriert, dass sie eine Fehlerbenachrichtigung an das Fahrzeug übertragen, wenn die Prozessoren (11) bestimmen, dass die empfangene gegenwärtige Version nicht mit der Version der letzten Aktualisierung übereinstimmt.

Description

Hintergrund der Erfindung
1. Technisches Gebiet
Die vorliegende Erfindung betrifft ein Zentrum, das mit einem Over-the-Air (OTA)-Master kommunizieren kann, der die Softwareaktualisierung bzw. das Softwareupdate von einer an einem Fahrzeug angebrachten elektronischen Steuereinheit steuert, und betrifft auch ein Verteilungssteuerverfahren und ein nicht-transitorisches Speichermedium.
2. Stand der Technik
Fahrzeuge weisen eine Vielzahl von elektronischen Steuereinheiten (ECUs) auf, die so konfiguriert sind, dass sie Vorgänge bzw. einen Betrieb der Fahrzeuge steuern. Die elektronische Steuereinheit weist einen Prozessor, einen transitorischen Speicher, z.B. einen Direktzugriffsspeicher (RAM), und einen nicht-transitorischen Speicher, z.B. einen Flash-Festwertspeicher (ROM), auf. Der Prozessor implementiert Steuerfunktionen der elektronischen Steuereinheit durch Ausführen von Software, die im Speicher gespeichert ist. Die Software, die in jeder elektronischen Steuereinheit gespeichert ist, ist überschreibbar. Eine Aktualisierung auf eine neuere Version der Software ermöglicht eine Verbesserung der Funktionen der elektronischen Steuereinheit und ein Hinzufügen von neuen Fahrzeugsteuerfunktionen.
Eine Over-the-Air (OTA)-Technologie ist als eine Technologie zum Aktualisieren von Software von elektronischen Steuereinheiten bekannt. Bei der OTA-Technologie ist eine fahrzeuginterne Vorrichtung, die mit einem fahrzeuginternen Netzwerk verbunden ist, mit einem Kommunikationsnetzwerk, wie etwa dem Internet, kabellos verbunden. Eine Vorrichtung, die eine Softwareaktualisierungsverarbeitung für das Fahrzeug handhabt, lädt die Software durch kabellose Kommunikation von einem Zentrum, das eine Serverfunktion aufweist, herunter und installiert die heruntergeladene Software in der elektronischen Steuereinheit. Auf diese Weise wird die Software der elektronischen Steuereinheit aktualisiert oder hinzugefügt.
Die Softwareaktualisierungsverarbeitung unter Verwendung der OTA-Technologie kann durch einen OTA-Master durch Übertragen einer Versionsinformation der Software der elektronischen Steuereinheit an das Zentrum (Überprüfen von Aktualisierungen) über die fahrzeuginterne Kommunikationsvorrichtung gestartet werden, wenn eine Energieversorgung oder eine Zündung des Fahrzeugs angeschaltet wird (siehe zum Beispiel die Veröffentlichung der ungeprüften Japanischen Patentanmeldung Nr. 2018 - 181 377 ( JP 2018 - 181 377 A )). Der OTA-Master ist die Vorrichtung, die die Softwareaktualisierungsverarbeitung für das Fahrzeug handhabt. Wenn der OTA-Master Aktualisierungsdaten vom Zentrum durch OTA herunterlädt, benachrichtigt der OTA-Master einen Nutzer, dass die Aktualisierungsdaten vorhanden sind, durch Anzeigen der Benachrichtigung auf einer Anzeigevorrichtung in dem Fahrzeug. Wenn der OTA-Master die Akzeptanz bzw. Zustimmung des Nutzers durch eine Betätigung auf einer Eingabevorrichtung, wie etwa einer Taste bzw. einem Knopf, empfängt, installiert und aktiviert der OTA-Master die Aktualisierungsdaten.
Kurzbeschreibung der Erfindung
Wenn die elektronische Steuereinheit aufgrund einer Fehlfunktion oder dergleichen ausgetauscht wird, kann sich die Version der in der elektronischen Steuereinheit installierten Software vor und nach dem Austausch ändern. Wenn sich die Softwareversion durch den Austausch der elektronischen Steuereinheit ändert, können an den Austauscharbeiten beteiligte Personen (Betreiber, Nutzer oder dergleichen) erkennen, dass sich die Version aufgrund eines anderen Umstands als der Softwareaktualisierung durch den OTA geändert hat. Wenn die Softwareversion aufgrund eines unbefugten Umschreibens der Software geändert wird, ist jedoch die Möglichkeit vorhanden, dass der Nutzer, das Fahrzeug und dergleichen nicht erkennen können, dass sich die Version aufgrund eines anderen Umstands als der Softwareaktualisierung durch OTA geändert hat.
Die vorliegende Erfindung stellt ein Zentrum, ein Verteilungssteuerverfahren und ein nicht-transitorisches Speichermedium bereit, die erkennen können, dass sich eine Softwareversion aufgrund eines anderen Umstands als einer Softwareaktualisierung durch OTA geändert hat, sogar wenn die Version aufgrund eines nicht autorisierten Umschreibens der Software geändert wurde.
Ein erster Aspekt der vorliegenden Erfindung betrifft ein Zentrum, das so konfiguriert ist, dass es mit einem Fahrzeug kommuniziert. Das Zentrum weist einen oder mehrere Prozessoren auf. Der eine oder die mehreren Prozessoren sind so konfiguriert, dass sie eine Aktualisierungsaufzeichnung der Software einer elektronischen Steuereinheit, die an dem Fahrzeug angebracht ist, speichern. Der eine oder die mehreren Prozessoren sind so konfiguriert, dass sie eine gegenwärtige bzw. aktuelle Version der Software der elektronischen Steuereinheit von dem Fahrzeug empfangen. Der eine oder die mehreren Prozessoren sind so konfiguriert, dass sie bestimmen, ob die empfangene gegenwärtige Version mit einer Version einer letzten Aktualisierungsaufzeichnung übereinstimmt. Der eine oder die mehreren Prozessoren sind so konfiguriert, dass sie eine Fehlerbenachrichtigung bzw. Fehlermeldung an das Fahrzeug übertragen, wenn der eine oder die mehreren Prozessoren bestimmen, dass die empfangene gegenwärtige Version nicht mit der Version der letzten Aktualisierung übereinstimmt.
In dem Zentrum gemäß dem ersten Aspekt der vorliegenden Erfindung kann der eine oder die mehreren Prozessoren so konfiguriert sein, dass sie eine Aktualisierungsdatenverteilung an das Fahrzeug deaktivieren, wenn der eine oder die mehreren Prozessoren bestimmen, dass die empfangene gegenwärtige Version mit der Version der letzten Aktualisierung nicht übereinstimmt.
In dem Zentrum gemäß dem ersten Aspekt der vorliegenden Erfindung können der eine oder die mehreren Prozessoren so konfiguriert sein, dass sie bei einem Endgerät oder einem zweiten Zentrum, das zu dem Zentrum unterschiedlich ist, nachfragen, ob die Version der Software der elektronischen Steuereinheit geändert wurde, wenn der eine oder die mehreren Prozessoren bestimmen, dass die empfangene gegenwärtige Version nicht mit der Version der letzten Aktualisierung übereinstimmt.
In dem Zentrum gemäß dem ersten Aspekt der vorliegenden Erfindung können der eine oder die mehreren Prozessoren so konfiguriert sein, dass sie die Aktualisierungsdatenverteilung an das Fahrzeug deaktivieren, wenn der eine oder die mehreren Prozessoren von dem Endgerät oder dem zweiten Zentrum eine Benachrichtigung empfangen, die angibt, dass die Version der Software der elektronischen Steuereinheit nicht geändert wurde.
In dem Zentrum gemäß dem ersten Aspekt der vorliegenden Erfindung kann der eine oder die mehreren Prozessoren so konfiguriert sein, dass sie, wenn die gegenwärtige Version, die von dem einen oder den mehreren Prozessoren empfangen wird, einen Fehler aufweist, Aktualisierungsdaten zum Eliminieren des Fehlers verteilen, ohne die Aktualisierungsdatenverteilung an das Fahrzeug zu deaktivieren.
In dem Zentrum gemäß dem ersten Aspekt der vorliegenden Erfindung kann der eine oder die mehreren Prozessoren so konfiguriert sein, dass sie eine Anweisung bzw. einen Befehl zum Beenden eines deaktivierten Zustands der Aktualisierungsdatenverteilung empfangen. Der eine oder die mehreren Prozessoren können so konfiguriert sein, dass sie die Aktualisierungsdatenverteilung an das Fahrzeug aktivieren, wenn der eine oder die mehreren Prozessoren die Anweisung erhalten.
Ein zweiter Aspekt der vorliegenden Erfindung betrifft ein Verteilungssteuerverfahren für Softwareaktualisierungsdaten, das durch einen Computer eines Zentrums, der einen oder mehrere Prozessoren, einen Speicher und eine Speichervorrichtung aufweist, auszuführen ist. Das Zentrum ist so konfiguriert, dass es mit einem Fahrzeug kommuniziert. Das Verteilungssteuerverfahren weist Speichern einer Aktualisierungsaufzeichnung einer Software einer elektronischen Steuereinheit, die an dem Fahrzeug angebracht ist, Empfangen einer gegenwärtigen Version der Software der elektronischen Steuereinheit von dem Fahrzeug, Bestimmen, ob die empfangene gegenwärtige Version mit einer Version einer letzten Aktualisierung, die in der Aktualisierungsaufzeichnung aufgezeichnet ist, übereinstimmt, und Übertragen einer Fehlerbenachrichtigung an das Fahrzeug, wenn eine Bestimmung gemacht wird, dass die empfangene gegenwärtige Version mit der Version der letzten Aktualisierung nicht übereinstimmt, auf.
Ein dritter Aspekt der vorliegenden Erfindung betrifft ein nicht-transitorisches Speichermedium, in dem Anweisungen gespeichert sind, die durch einen Computer eines Zentrums ausführbar sind und die den Computer zum Durchführen von Funktionen veranlassen. Das Zentrum weist einen oder mehrere Prozessoren, einen Speicher und eine Speichervorrichtung auf. Das Zentrum ist so konfiguriert, dass es mit einem Fahrzeug kommuniziert. Die Funktionen weisen Speichern einer Aktualisierungsaufzeichnung einer Software einer elektronischen Steuereinheit, die am Fahrzeug angebracht ist, Empfangen einer gegenwärtigen Version der Software der elektronischen Steuereinheit von dem Fahrzeug, Bestimmen, ob die empfangene gegenwärtige Version mit einer Version einer letzten Aktualisierung, die in der Aktualisierungsaufzeichnung aufgezeichnet ist, übereinstimmt, und Übertragen einer Fehlerbenachrichtigung an das Fahrzeug, wenn eine Bestimmung gemacht wird, dass die empfangene gegenwärtige Version mit der Version der letzten Aktualisierung nicht übereinstimmt, auf.
Mit dem Zentrum und dergleichen gemäß der vorliegenden Erfindung ist es möglich, zu erkennen, dass sich die Softwareversion aufgrund eines anderen Umstands als der Softwareaktualisierung durch OTA geändert hat, sogar wenn die Version aufgrund des unbefugten Umschreibens der Software geändert wird.
Figurenliste
Merkmale, Vorteile sowie technische und industrielle Bedeutung von beispielhaften Ausführungsformen der Erfindung werden nachfolgend unter Bezugnahme auf die beigefügten Figuren, in denen gleiche Bezugszeichen gleiche Elemente bezeichnen, verdeutlicht. Es zeigen:

1 ein Blockdiagramm, das eine Gesamtkonfiguration eines Netzwerksystems gemäß einer Ausführungsform darstellt;
2 ein Blockdiagramm, das eine schematische Konfiguration eines Zentrums darstellt;
3 ein Funktionsblockdiagramm des Zentrums;
4 ein Blockdiagramm, das eine schematische Konfiguration eines OTA-Masters darstellt;
5 ein Funktionsblockdiagramm des OTA-Masters;
6 ein Beispiel einer Aktualisierungsaufzeichnungsinformation, die im Zentrum gespeichert ist;
7 ein Ablaufdiagramm einer Aktualisierungsüberprüfungsanfrageverarbeitung, die vom Zentrum auszuführen ist;
8A ein Diagramm, das die Konsistenz von Softwareversionen darstellt;
8B ein Diagramm, das die Konsistenz der Softwareversionen darstellt;
8C ein Diagramm, das die Konsistenz der Softwareversionen darstellt;
9 ein Ablaufdiagramm einer Herunterladanfrageverarbeitung, die vom Zentrum auszuführen ist; und
10 ein Ablaufdiagramm einer Softwareaktualisierungssteuerverarbeitung, die vom OTA-Master auszuführen ist.

Detaillierte Beschreibung von Ausführungsformen
Ein Zentrum der vorliegenden Erfindung überträgt eine Fehlerbenachrichtigung an ein Fahrzeug, wenn eine gegenwärtige Softwareversion einer elektronischen Steuereinheit, die von dem Fahrzeug empfangen wird, nicht mit einer Version der letzten Aktualisierung in einer Softwareaktualisierungsaufzeichnung der elektronischen Steuereinheit, die durch das Zentrum gespeichert und verwaltet wird, übereinstimmt. Somit ist es möglich, zu erkennen, dass sich die Softwareversion aufgrund eines anderen Umstands als der Softwareaktualisierung durch OTA in dem Fahrzeug geändert hat, sogar wenn die Version aufgrund eines unautorisierten Umschreibens der Software geändert wurde. Eine Ausführungsform der vorliegenden Erfindung wird nachfolgend unter Bezugnahme auf die Figuren im Detail beschrieben.
Ausführungsform
System konfiguration
1 ist ein Blockdiagramm, das eine Gesamtkonfiguration eines Netzwerksystems gemäß der Ausführungsform der vorliegenden Erfindung darstellt. Das in 1 dargestellte Netzwerksystem ist ein System zum Aktualisieren einer Software einer Vielzahl von elektronischen Steuereinheiten (ECUs) 50a bis 50d, die an einem Fahrzeug angebracht ist. Das Netzwerksystem weist ein Zentrum 10 außerhalb des Fahrzeugs, ein fahrzeuginternes Netzwerk 90 und ein Netzwerk 100 auf.
(1) Zentrum
Das Zentrum 10 kann über das Netzwerk 100 mit einem später beschriebenen OTA-Master 30 im fahrzeuginternen Netzwerk 90 kommunizieren. Das Zentrum 10 überträgt Aktualisierungsdaten der elektronischen Steuereinheiten 50a bis 50d und empfängt eine Benachrichtigung über den Fortschritt einer Softwareaktualisierungsverarbeitung, um dadurch die Softwareaktualisierung der mit dem OTA-Master 30 verbundenen elektronischen Steuereinheiten 50a bis 50d zu verwalten. Das Zentrum 10 weist Funktionen eines sogenannten Servers auf.
2 ist ein Blockdiagramm, das eine schematische Konfiguration des Zentrums 10 aus 1 darstellt. Wie in 2 dargestellt, weist das Zentrum 10 eine zentrale Verarbeitungseinheit (CPU) 11, einen Direktzugriffsspeicher (RAM) 12, eine Speichervorrichtung 13 und eine Kommunikationsvorrichtung 14 auf. Die Speichervorrichtung 13 weist ein lesbares/beschreibbares Speichermedium, wie etwa ein Festplattenlaufwerk (HDD) oder ein Solid-State-Laufwerk (SSD), auf. Zum Beispiel speichert die Speichervorrichtung 13 Programme zum Ausführen einer Softwareaktualisierungsverwaltung, eine Information, die für die Softwareaktualisierungsverwaltung zu verwenden ist, und Aktualisierungsdaten von jeder elektronischen Steuereinheit. Im Zentrum 10 führt die CPU 11 das aus der Speichervorrichtung 13 gelesene Programm unter Verwendung des RAM 12 als einen Arbeitsbereich aus, um eine vorgegebene Verarbeitung in Bezug auf eine Softwareaktualisierung auszuführen. Die Kommunikationsvorrichtung 14 kommuniziert mit dem OTA-Master 30 über das Netzwerk 100.
3 ist ein Funktionsblockdiagramm des in 2 dargestellten Zentrums 10. Das in 3 dargestellte Zentrum 10 weist einen Speicher 15, eine Kommunikationseinheit 16, eine Steuereinheit 17, eine Bestimmungseinheit 18, eine Anfrageeinheit 19 und eine Empfangseinheit 20 auf. Der Speicher 15 wird durch die in 2 dargestellte Speichervorrichtung 13 implementiert. Die Kommunikationseinheit 16, die Steuereinheit 17, die Anfrageeinheit 18, die Bestimmungseinheit 19 und die Empfangseinheit 20 sind durch die in 2 dargestellte CPU 11 implementiert, die in der Speichervorrichtung 13 gespeicherte Programme unter Verwendung des RAM 12 ausführt.
Der Speicher 15 speichert eine Information in Bezug auf die Softwareaktualisierungsverarbeitung von einer oder mehreren elektronischen Steuereinheiten, die an einem Fahrzeug angebracht sind. Als die Information in Bezug auf die Softwareaktualisierungsverarbeitung speichert der Speicher 15 zumindest eine Aktualisierungsverwaltungsinformation und Softwareaktualisierungsdaten der elektronischen Steuereinheiten 50a bis 50d. Die Aktualisierungsverwaltungsinformation ist eine Information, in der eine Information, die die Software, die für die elektronischen Steuereinheiten 50a bis 50d verfügbar ist, angibt, mit einer Fahrzeugidentifizierungsinformation (Fahrzeug-ID) zum Identifizieren des Fahrzeugs verknüpft bzw. assoziiert ist. Beispiele für die Information, die eine Software, die für die elektronischen Steuereinheiten 50a bis 50d verfügbar ist, angibt, weisen eine Kombination der letzten bzw. aktuellsten Versionen von Softwareprodukten der elektronischen Steuereinheiten 50a bis 50d auf. Als die Information in Bezug auf die Softwareaktualisierungsverarbeitung speichert der Speicher 15 auch einen Aktualisierungsstatus, d.h. einen Status der im Fahrzeug ausgeführten Softwareaktualisierung.
Der Speicher 15 speichert eine Aktualisierungsaufzeichnungsinformation, die Aktualisierungsaufzeichnungen der Software der elektronischen Steuereinheiten 50a bis 50d angibt, die an dem Fahrzeug angebracht sind. Die Aktualisierungsaufzeichnungsinformation ist eine Information, in der Inhalte einer Softwareaktualisierung, die in dem Fahrzeug ausgeführt wurde, für jede Fahrzeug-ID zum Identifizieren des Fahrzeugs kumulativ aufgezeichnet werden. 6 stellt ein Beispiel einer Aktualisierungsaufzeichnungsinformation in einem Fahrzeug mit der Fahrzeug-ID_0001 dar. Die in 6 beispielhaft dargestellte Aktualisierungsaufzeichnungsinformation wird in Verknüpfung mit einer Zahl aufgezeichnet, die eine Nummer von Aktualisierungsausführungen, ein Datum und eine Uhrzeit der Aktualisierungsausführung sowie Softwareversionen der elektronischen Steuereinheiten (ECUs), die durch die Aktualisierung geändert wurden, angibt. Zum Beispiel zeigt 6, dass das Fahrzeug mit der Fahrzeug-ID_0001 am 31. Juli 20XX um 14:47:58 Uhr einer dritten Aktualisierungsverarbeitung unterworfen wurde, um eine elektronische Steuereinheit ECU-A auf Version 2.0, eine elektronische Steuereinheit ECU-B auf Version 2.0 und eine elektronische Steuereinheit ECU-C auf Version 3.0 zu aktualisieren.
Die Kommunikationseinheit 16 überträgt und empfängt Daten, eine Information, Anfragen und dergleichen an und von dem OTA-Master 30. Die Kommunikationseinheit 16 ist imstande, eine Softwareaktualisierungsüberprüfungsanfrage von dem OTA-Master 30 (Empfangseinheit) zu empfangen. Zum Beispiel ist die Aktualisierungsüberprüfungsanfrage eine Information, die vom OTA-Master 30 an das Zentrum 10 übertragen wird, wenn eine Energieversorgung oder eine Zündung in dem Fahrzeug angeschaltet wird (nachfolgend als „angeschaltet“ bezeichnet). Die Aktualisierungsüberprüfungsanfrage ist eine Information, um da Zentrum 10 anzufragen, um auf Grundlage einer später beschriebenen Fahrzeugkonfigurationsinformation zu prüfen, ob Aktualisierungsdaten der elektronischen Steuereinheiten 50a bis 50d vorhanden sind. In Antwort auf die vom OTA-Master 30 empfangene Aktualisierungsüberprüfungsanfrage überträgt die Kommunikationseinheit 16 eine Information über das Vorhandensein oder das Fehlen von Aktualisierungsdaten an den OTA-Master 30 (Übertragungseinheit). Die Kommunikationseinheit 16 überträgt eine Fehlerbenachrichtigung an den OTA-Master 30, wenn die später beschriebene Bestimmungseinheit 18 bestimmt, dass die Aktualisierungsdatenverteilung durch OTA deaktiviert ist (Übertragungseinheit). Die Kommunikationseinheit 16 ist auch imstande, eine Verteilungspaketübertragungsanfrage (Herunterladanfrage) vom OTA-Master 30 zu empfangen (Empfangseinheit). In Antwort auf einen Empfang der Verteilungspaketherunterladanfrage überträgt die Kommunikationseinheit 16 an den OTA-Master 30 ein Verteilungspaket, das die Aktualisierungsdaten der Software der elektronischen Steuereinheiten 50a bis 50d aufweist und das durch die später beschriebenen Steuereinheit 17 auf Grundlage davon erzeugt wird, ob die Aktualisierungsdatenverteilung durch OTA aktiviert oder deaktiviert ist und ob eine Anweisung zum Beenden eines deaktivierten Zustands vorhanden ist (Übertragungseinheit).
Die Bestimmungseinheit 18 erlangt gegenwärtige Versionen der Softwareprodukte der elektronischen Steuereinheiten 50a bis 50d von einer Fahrzeugkonfigurationsinformation, die in der Aktualisierungsüberprüfungsanfrage, die durch die Kommunikationseinheit 16 empfangen wird, vorhanden ist. Auf Grundlage der im Speicher 15 gespeicherten Aktualisierungsaufzeichnungsinformation bestimmt die Bestimmungseinheit 18, ob eine gegenwärtige Softwareversion, die vom Fahrzeug erlangt wird, jeweils mit der Softwareversion der letzten Aktualisierung in dem Fahrzeug, die von dem Zentrum 10 als eine Aktualisierungsaufzeichnung verwaltet wird, übereinstimmt.
Wenn die Bestimmungseinheit 18 bestimmt, dass eine gegenwärtige Softwareversion jeweils nicht mit der Softwareversion der letzten Aktualisierung übereinstimmt, kann die Anfrageeinheit 19 bei einem Zentrum (zweites Zentrum), das zu dem Zentrum 10 unterschiedlich ist, oder einem Kommunikationsendgerät eines Händlers oder eines vorregistrierten Nutzers anfragen, ob die Softwareversionen der elektronischen Steuereinheiten 50a bis 50d geändert wurden.
Die Empfangseinheit 20 kann eine Anweisung zum Beenden des deaktivierten Zustands empfangen, wenn die Aktualisierungsdatenverteilung durch OTA deaktiviert ist. Zum Beispiel wird die Anweisung zum Beenden des deaktivierten Zustands vom Händler oder dem vorregistrierten Nutzer ausgegeben, wenn eine gegenwärtige Softwareversion aus einem guten Grund, wie etwa dem Austausch der elektronischen Steuereinheit, mit der Softwareversion der letzten Aktualisierung nicht übereinstimmt.
Wenn die Bestimmungseinheit 18 bestimmt, dass die gegenwärtige Softwareversion jeweils mit der Softwareversion der letzten Aktualisierung übereinstimmt, aktiviert die Steuereinheit 17 die Aktualisierungsdatenverteilung durch OTA. Wenn die Bestimmungseinheit 18 bestimmt, dass eine gegenwärtige Softwareversion jeweils nicht mit der Softwareversion der letzten Aktualisierung übereinstimmt, deaktiviert die Steuereinheit 17 die Aktualisierungsdatenverteilung durch OTA. Ein Ergebnis einer Deaktivierung der Aktualisierungsdatenverteilung durch OTA in der Steuereinheit 17 wird durch die Kommunikationseinheit 16 in Form einer Fehlerbenachrichtigung an den OTA-Master 30 übertragen. Wenn die Kommunikationseinheit 16 die Aktualisierungsüberprüfungsanfrage vom OTA-Master 30 empfängt, bestimmt die Steuereinheit 17 auf Grundlage der im Speicher 15 gespeicherten Aktualisierungsverwaltungsinformation, ob Softwareaktualisierungsdaten für die elektronischen Steuereinheiten 50a bis 50d, die an dem Fahrzeug angebracht sind, das durch die in der Aktualisierungsüberprüfungsanfrage vorhandene Fahrzeug-ID identifiziert ist, vorhanden sind. Ein Ergebnis der durch die Steuereinheit 17 gemachten Bestimmung, ob Aktualisierungsdaten vorhanden sind, wird durch die Kommunikationseinheit 16 an den OTA-Master 30 übertragen. Wenn eine Bestimmung gemacht wird, dass die Aktualisierungsdatenverteilung durch OTA aktiviert ist und Softwareaktualisierungsdaten für die elektronischen Steuereinheiten 50a bis 50d vorhanden sind, generiert die Steuereinheit 17 in Antwort auf einen Empfang der Verteilungspaketherunterladanfrage vom OTA-Master 30 ein Verteilungspaket, das die entsprechenden im Speicher 15 gespeicherten Aktualisierungsdaten aufweist.
(2) Fahrzeuginternes Netzwerk
Das fahrzeuginterne Netzwerk 90 weist den OTA-Master 30, die elektronischen Steuereinheiten 50a bis 50d, eine Anzeigevorrichtung 70 und ein Kommunikationsmodul 80 auf. Der OTA-Master 30 und das Kommunikationsmodul 80 sind über einen Bus 60a verbunden. Der OTA-Master 30 und die elektronischen Steuereinheiten 50a und 50b sind über einen Bus 60b verbunden. Der OTA-Master 30 und die elektronischen Steuereinheiten 50c und 50d sind über einen Bus 60c verbunden. Der OTA-Master 30 und die Anzeigevorrichtung 70 sind über einen Bus 60d verbunden.
Der OTA-Master 30 kann mit dem Zentrum 10 durch den Bus 60a und das Kommunikationsmodul 80 über das Netzwerk 100 kabellos kommunizieren. Der OTA-Master 30 kann auch mit den elektronischen Steuereinheiten 50a bis 50d und der Anzeige-Steuereinheit 70 über die Busse 60b bis 60d kabelgebunden kommunizieren. Der OTA-Master 30 ist eine Vorrichtung, die die Funktion aufweist, einen OTA-Status zu verwalten, eine Softwareaktualisierungssequenz zu steuern und die Softwareaktualisierung einer zu aktualisierenden elektronischen Steuereinheit (nachfolgend als „Ziel-ECU“ (ECU; electronic control unit) bezeichnet) auszuführen. Der OTA-Master 30 steuert die Softwareaktualisierung der Ziel-ECU unter den elektronischen Steuereinheiten 50a bis 50d auf Grundlage von z.B. den Aktualisierungsdaten, die vom Zentrum 10 durch die Kommunikation erlangt wurden. Der OTA-Master 30 kann auch als „Central Gateway (CGW)“ bezeichnet werden. Die eine oder mehrere Ziel-ECUs können als OTA-Master 30 fungieren.
4 ist ein Blockdiagramm, das eine schematische Konfiguration des OTA-Masters 30 in 1 darstellt. Wie in 4 dargestellt, weist der OTA-Master 30 eine CPU 31, einen RAM 32, einen Festwertspeicher (ROM) 33, eine Speichervorrichtung 34 und eine Kommunikationsvorrichtung 36 auf. Die CPU 31, der RAM 32, der ROM 33 und die Speichervorrichtung 34 bilden einen Mikrocomputer 35. Im OTA-Master 30 führt die CPU 31 ein aus dem ROM 33 gelesenes Programm unter Verwendung des RAM 32 als Arbeitsbereich aus, um eine vorgegebene Verarbeitung in Bezug auf die Softwareaktualisierung auszuführen. Die Kommunikationsvorrichtung 36 kommuniziert mit dem Kommunikationsmodul 80, den elektronischen Steuereinheiten 50a bis 50d und der Anzeigevorrichtung 70 über die in 1 dargestellten Busse 60a bis 60d.
5 ist ein Funktionsblockdiagramm des in 4 dargestellten OTA-Masters 30. Der in 5 dargestellte OTA-Master 30 weist einen Speicher 37, eine Kommunikationseinheit 38, eine Steuereinheit 39 und eine Ausgabeeinheit 40 auf. Der Speicher 37 wird durch die in 4 dargestellte Speichervorrichtung 34 implementiert. Die Kommunikationseinheit 38, die Steuereinheit 39 und die Ausgabeeinheit 40 werden durch die in 4 dargestellte CPU 31, die die im ROM 33 gespeicherten Programme unter Verwendung des RAM 32 ausführt, implementiert.
Der Speicher 37 speichert ein Programm zum Ausführen der Softwareaktualisierung der elektronischen Steuereinheiten 50a bis 50d (Steuerprogramm für den OTA-Master 30), unterschiedliche Arten von Daten, die beim Ausführen der Softwareaktualisierung zu verwenden sind, und Softwareaktualisierungsdaten, die vom Zentrum 10 heruntergeladen wurden.
Die Kommunikationseinheit 38 überträgt und empfängt Daten, eine Information, Anfragen und dergleichen an und von dem Zentrum 10. Zum Beispiel überträgt die Kommunikationseinheit 38 eine Softwareaktualisierungsüberprüfungsanfrage an das Zentrum 10, wenn das Fahrzeug angeschaltet wird. Zum Beispiel weist die Aktualisierungsüberprüfungsanfrage die Fahrzeug-ID zum Identifizieren des Fahrzeugs und eine Information in Bezug auf Softwareversionen der elektronischen Steuereinheiten 50a bis 50d, die mit dem fahrzeuginternen Netzwerk 90 verbunden sind, auf. Die Fahrzeug-ID und die Softwareversionen der elektronischen Steuereinheiten 50a bis 50d werden verwendet, um durch Vergleich mit den Softwareversionen der letzten (aktuellsten) Aktualisierung, die im Zentrum 10 für jede Fahrzeug-ID gespeichert ist, zu bestimmen, ob Softwareaktualisierungsdaten für die elektronischen Steuereinheiten 50a bis 50d vorhanden sind und ob die Aktualisierungsdatenverteilung durch OTA aktiviert oder deaktiviert ist, wenn Aktualisierungsdaten vorhanden sind. Die Kommunikationseinheit 38 empfängt auch eine Benachrichtigung über das Vorhandensein oder das Fehlen von Aktualisierungsdaten vom Zentrum 10 in Antwort auf die Aktualisierungsüberprüfungsanfrage. Die Kommunikationseinheit 38 empfängt auch eine Fehlerbenachrichtigung, wenn die Aktualisierungsdatenverteilung durch OTA deaktiviert ist. Wenn Softwareaktualisierungsdaten für die elektronischen Steuereinheiten 50a bis 50d vorhanden sind, fungiert die Kommunikationseinheit 38 als Empfangseinheit, die so konfiguriert ist, dass sie eine Herunterladanfrage für ein Verteilungspaket, das die Aktualisierungsdaten aufweist, an das Zentrum 10 überträgt und das vom Zentrum 10 übertragene Verteilungspaket empfängt (Herunterladen bzw. Download). Die Kommunikationseinheit 38 überträgt an das Zentrum 10 Softwareaktualisierungzustände, die von den elektronischen Steuereinheiten 50a bis 50d übertragen werden.
Die Steuereinheit 39 bestimmt auf Grundlage der Fehlerbenachrichtigung und der Antwort auf die Aktualisierungsüberprüfungsanfrage, die von dem Zentrum 10 durch die Kommunikationseinheit 38 empfangen werden, ob Softwareaktualisierungsdaten für die elektronischen Steuereinheiten 50a bis 50d vorhanden sind. Die Steuereinheit 39 verifiziert auch die Authentizität des Verteilungspakets, das von dem Zentrum 10 durch die Kommunikationseinheit 38 empfangen (heruntergeladen) und in dem Speicher 37 gespeichert wurde. Die Steuereinheit 39 steuert auch die Softwareaktualisierungsverarbeitung (Installation oder Aktivierung) der elektronischen Steuereinheiten 50a bis 50d unter Verwendung der vom Zentrum 10 empfangenen (heruntergeladenen) Aktualisierungsdaten. Insbesondere überträgt die Steuereinheit 39 eine oder mehrere Teile von Aktualisierungsdaten, die im Verteilungspaket heruntergeladen wurden, an die Ziel-ECU und veranlasst die Ziel-ECU auf Grundlage der Aktualisierungsdaten, die Software zu installieren. Nach Abschluss der Installation weist die Steuereinheit 39 die Ziel-ECU an, die installierte Aktualisierungssoftware zu aktivieren, d.h. freizugeben.
Wenn die Kommunikationseinheit 38 die Fehlerbenachrichtigung vom Zentrum 10 empfängt, kann die Ausgabeeinheit 40 eine Anweisung zum Anzeigen des Fehlers auf der Anzeigevorrichtung 70 ausgeben. Durch Anzeigen des Fehlers über die Anzeigevorrichtung 70 kann der Nutzer und dergleichen beispielsweise darüber informiert werden, dass die Softwareaktualisierungsverarbeitung nicht durchgeführt werden kann, weil die Aktualisierungsdatenverteilung durch OTA vom Zentrum 10 an das Fahrzeug deaktiviert ist.
Die elektronischen Steuereinheiten 50a bis 50d sind Vorrichtungen (ECUs), die so konfiguriert sind, dass sie den Betrieb einzelner Teile des Fahrzeugs steuern. Obwohl die vier elektronischen Steuereinheiten 50a bis 50d in 1 beispielhaft dargestellt sind, ist die Anzahl der elektronischen Steuereinheiten nicht besonders begrenzt. Die Anzahl von Bussen, die die elektronischen Steuereinheiten mit dem OTA-Master 30 verbinden, ist ebenfalls nicht besonders begrenzt.
Die Anzeigevorrichtung 70 ist eine Mensch-Maschine-Schnittstelle (HMI; human-machine interface), die für unterschiedliche Arten einer Anzeige, wie etwa eine Anzeige einer Information, die angibt, dass während der Softwareaktualisierungsverarbeitung der elektronischen Steuereinheiten 50a bis 50d Aktualisierungsdaten vorhanden sind, eine Anzeige einer Information, die angibt, dass die Softwareaktualisierungsverarbeitung nicht durchgeführt werden kann, weil die Aktualisierungsdatenverteilung durch OTA deaktiviert ist, eine Anzeige einer Akzeptanzanfrageanzeige zum Anfragen einer Akzeptanz des Nutzers oder des Administrators des Fahrzeugs für die Softwareaktualisierung, und eine Anzeige eines Ergebnisses der Softwareaktualisierung, verwendet werden kann. Ein typisches Beispiel für die Anzeigevorrichtung 70 ist eine Anzeigevorrichtung für ein Auto-Navigationssystem. Die Anzeigevorrichtung 70 ist nicht besonders begrenzt, solange die Anzeigevorrichtung 70 eine Information, die für die Verarbeitung des Programms notwendig ist, anzeigen kann. Eine elektronische Steuereinheit oder dergleichen kann ferner zusätzlich zur Anzeigevorrichtung 70 mit dem in 1 dargestellten Bus 60d verbunden sein.
Das Kommunikationsmodul 80 ist eine Einheit, die eine Funktion zum Steuern einer Kommunikation zwischen dem Zentrum 10 und dem Fahrzeug aufweist, und ist eine Kommunikationsvorrichtung zum Verbinden des fahrzeuginternen Netzwerks 90 mit dem Zentrum 10. Das Kommunikationsmodul 80 ist über das Netzwerk 100 mit dem Zentrum 10 kabellos verbunden, so dass der OTA-Master 30 das Fahrzeug authentifizieren und Aktualisierungsdaten herunterladen kann. Das Kommunikationsmodul 80 kann in dem OTA-Master 30 vorhanden sein.
Überblick über die Softwareaktualisierungsverarbeitung
Zum Beispiel überträgt der OTA-Master 30 eine Softwareaktualisierungsüberprüfungsanfrage an das Zentrum 10, wenn das Fahrzeug angeschaltet wird. Die Aktualisierungsüberprüfungsanfrage weist die Fahrzeug-ID zum Identifizieren des Fahrzeugs und eine Fahrzeugkonfigurationsinformation auf. Die Fahrzeugkonfigurationsinformation ist eine Information, die den Zustand der elektronischen Steuereinheiten (Systemkonfiguration), wie etwa die Hardware- und Softwareversionen der elektronischen Steuereinheiten 50a bis 50d, die mit dem fahrzeuginternen Netzwerk 90 verbunden sind, betrifft. Die Fahrzeugkonfigurationsinformation kann durch Erlangen von Identifikationsnummern der elektronischen Steuereinheiten (ECU_IDs) und von Identifikationsnummern der Softwareversionen der elektronischen Steuereinheiten (ECU_Software_IDs) von den elektronischen Steuereinheiten 50a bis 50d, die mit dem fahrzeuginternen Netzwerk 90 verbunden sind, erzeugt werden. Die Fahrzeug-ID und die Softwareversionen der elektronischen Steuereinheiten 50a bis 50d werden zum Vergleich mit den letzten Softwareversionen, die im Zentrum 10 für jede Fahrzeug-ID gehalten werden, verwendet. Ein Vergleichsergebnis wird verwendet, um zu bestimmen, ob Softwareaktualisierungsdaten für die elektronischen Steuereinheiten 50a bis 50d vorhanden sind und ob die Aktualisierungsdatenverteilung durch OTA aktiviert oder deaktiviert ist, wenn Aktualisierungsdaten vorhanden sind. Der OTA-Master 30 empfängt eine Benachrichtigung, die das Vorhandensein oder das Fehlen von Aktualisierungsdaten angibt, vom Zentrum 10 in Antwort auf die Aktualisierungsüberprüfungsanfrage. Der OTA-Master 30 empfängt eine Fehlerbenachrichtigung vom Zentrum 10, wenn die Aktualisierungsdatenverteilung durch OTA deaktiviert ist. Wenn Softwareaktualisierungsdaten für die elektronischen Steuereinheiten 50a bis 50d vorhanden sind, überträgt der OTA-Master 30 eine Verteilungspaketherunterladanfrage an das Zentrum 10 und empfängt ein vom Zentrum 10 übertragenes Verteilungspaket. Das Verteilungspaket kann zusätzlich zu den Aktualisierungsdaten Verifizierungsdaten zum Verifizieren der Authentizität der Aktualisierungsdaten, die Anzahl von Teilen der Aktualisierungsdaten, die Reihenfolge einer Installation, die Reihenfolge einer Aktivierung, eine Typinformation und unterschiedliche Arten einer Steuerinformation, die während der Softwareaktualisierung zu verwenden sind, aufweisen.
Der OTA-Master 30 bestimmt auf Grundlage der Fehlerbenachrichtigung und der Antwort vom Zentrums 10 auf die Aktualisierungsüberprüfungsanfrage, die empfangen werden, ob Softwareaktualisierungsdaten für die elektronischen Steuereinheiten 50a bis 50d vorhanden sind. Der OTA-Master 30 verifiziert die Authentizität des Verteilungspakets, das vom Zentrum 10 empfangen und in der Speichervorrichtung 34 gespeichert wurde. Der OTA-Master 30 überträgt einen oder mehrere Teile der im Verteilungspaket heruntergeladenen Aktualisierungsdaten an die Ziel-ECU und veranlasst die Ziel-ECU, die Aktualisierungsdaten zu installieren. Nach Abschluss der Installation weist der OTA-Master 30 die Ziel-ECU an, die installierte aktualisierte Version der Software zu aktivieren.
Bei einer Akzeptanzanfrageverarbeitung veranlasst der OTA-Master 30 eine Ausgabevorrichtung, eine Benachrichtigung, dass eine Akzeptanz für die Softwareaktualisierung erforderlich ist, und eine Benachrichtigung, die den Nutzer dazu auffordert, die Akzeptanz für die Softwareaktualisierung einzugeben, auszugeben. Beispiele für die Ausgabevorrichtung weisen die im fahrzeuginternen Netzwerk 90 bereitgestellte Anzeigevorrichtung 70 und eine Audio-Ausgabevorrichtung, die Benachrichtigungen durch Sprache oder Töne bereitstellt, auf. Wenn zum Beispiel die Anzeigevorrichtung 70 als die Ausgabevorrichtung in der Akzeptanzanfrageverarbeitung verwendet wird, ist der OTA-Master 30 imstande, die Anzeigevorrichtung 70 zu veranlassen, einen Akzeptanzanfragebildschirm anzuzeigen, um eine Akzeptanz für die Softwareaktualisierung anzufordern, und die Anzeigevorrichtung 70 zu veranlassen, eine Benachrichtigung anzuzeigen, die den Nutzer oder Administrator auffordert, eine bestimmte Eingabebetätigung, wie etwa Drücken einer Akzeptanztaste, durchzuführen, wenn der Nutzer oder der Administrator die Softwareaktualisierung akzeptiert. Bei der Akzeptanzanfrageverarbeitung ist der OTA-Master 30 imstande, die Anzeigevorrichtung 70 zu veranlassen, Texte, Symbole oder dergleichen anzuzeigen, um mitzuteilen, dass Softwareaktualisierungsdaten für die elektronischen Steuereinheiten 50a bis 50d vorhanden sind, und die Anzeigevorrichtung 70 zu veranlassen, Einschränkungen während der Ausführung der Softwareaktualisierungsverarbeitung anzuzeigen. In Antwort auf einen Empfang der Eingabe der Akzeptanz durch den Nutzer oder den Administrator führt der OTA-Master 30 eine Steuerverarbeitung für die Installation und Aktivierung aus, um die Software der Ziel-ECU zu aktualisieren.
Wenn ein nicht-volatile Speicher der elektronischen Steuereinheit ein Single-Bank-Speicher ist, der einen Speicherbereich zum Speichern des Programms aufweist, werden die Installation und die Aktivierung nacheinander ausgeführt. Folglich wird die Akzeptanzanfrageverarbeitung für die Softwareaktualisierung vor der Installation ausgeführt. Wenn der nicht-volatile Speicher der elektronischen Steuereinheit ein Dual-Bank-Speicher mit zwei Speicherbereichen zum Speichern des Programms ist, wird die Akzeptanzanfrageverarbeitung für die Softwareaktualisierung zumindest nach der Installation und vor der Aktivierung ausgeführt. Wenn der nicht-volatile Speicher der elektronischen Steuereinheit der Dual-Bank-Speicher ist, kann die Akzeptanzanfrageverarbeitung für die Softwareaktualisierung vor der Installation ausgeführt oder weggelassen werden.
Die Softwareaktualisierungsverarbeitung weist eine Herunterladphase, eine Installationsphase und eine Aktivierungsphase auf. Die Herunterladphase ist eine Phase, in der der OTA-Master 30 Aktualisierungsdaten von dem Zentrum 10 herunterlädt. Die Installationsphase ist eine Phase, in der der OTA-Master 30 die heruntergeladenen Aktualisierungsdaten an die Ziel-ECU überträgt und die Aktualisierungsdaten im Speicherbereich der Ziel-ECU installiert. Die Aktivierungsphase ist eine Phase, in der die Ziel-ECU die installierte aktualisierte Version der Software aktiviert.
Das Herunterladen ist eine Verarbeitung, bei der der OTA-Master 30 die Aktualisierungsdaten zum Aktualisieren der Software der elektronischen Steuereinheiten 50a bis 50d, die von dem Zentrum 10 in Form des Verteilungspakets übertragen werden, empfängt und die Aktualisierungsdaten in der Speichervorrichtung 34 speichert. Die Herunterladphase weist nicht nur die Ausführung des Herunterladens, sondern auch eine Steuerung einer Reihe von Verarbeitungen in Bezug auf das Herunterladen, wie etwa ein Bestimmen, ob das Herunterladen ausgeführt werden kann, ein Anfragen einer Akzeptanz des Nutzers oder des Administrators des Fahrzeugs für das Herunterladen und ein Überprüfen der aktualisierten Daten, auf.
Die Aktualisierungsdaten, die vom Zentrum 10 an den OTA-Master 30 übertragen werden, können eine Aktualisierungssoftware für die elektronischen Steuereinheiten 50a bis 50d, komprimierte Daten der Aktualisierungssoftware oder geteilte Daten der Aktualisierungssoftware oder der komprimierten Daten aufweisen. Die Aktualisierungsdaten können eine ECU_ID (oder Seriennummer) der Ziel-ECU und eine ECU_Software_ID der elektronischen Steuereinheit vor der Aktualisierung aufweisen. Die Aktualisierungsdaten werden als Verteilungspaket heruntergeladen. Das Verteilungspaket weist Aktualisierungsdaten für eine oder mehrere elektronische Steuereinheiten auf.
Die Installation ist eine Verarbeitung, bei der der OTA-Master 30 auf Grundlage der vom Zentrum 10 heruntergeladenen Aktualisierungsdaten die Aktualisierungssoftware (aktualisierte Version des Programms) in die Ziel-ECU schreibt. Die Installationsphase weist nicht nur die Ausführung der Installation, sondern auch die Steuerung einer Reihe von Verarbeitungen, die die Installation betreffen, wie etwa eine Bestimmung, ob die Installation ausgeführt werden kann, ein Anfragen der Akzeptanz des Nutzers oder des Administrators des Fahrzeugs für die Installation, ein Übertragen der Aktualisierungsdaten und ein Überprüfen der Aktualisierungssoftware, auf.
Wenn die Aktualisierungsdaten die Aktualisierungssoftware aufweisen, überträgt der OTA-Master 30 die Aktualisierungsdaten (Aktualisierungssoftware) in der Installationsphase an die Ziel-ECU. Wenn die Aktualisierungsdaten komprimierte Daten, Differenzdaten oder geteilte Daten der Aktualisierungssoftware aufweisen, kann der OTA-Master 30 die Aktualisierungsdaten an die Ziel-ECU übertragen und die Ziel-ECU kann die Aktualisierungssoftware aus den Aktualisierungsdaten erzeugen. Der OTA-Master 30 kann die Aktualisierungssoftware aus den Aktualisierungsdaten generieren und dann die Aktualisierungssoftware an die Ziel-ECU übertragen. Die Aktualisierungssoftware kann durch Dekomprimieren der komprimierten Daten oder durch Zusammenfügen (Integrieren) der Differenzdaten oder der geteilten Daten erstellt werden.
Die Aktualisierungssoftware kann durch die Ziel-ECU auf Grundlage einer Installationsanfrage (oder -anweisung) von dem OTA-Masters 30 (oder dem Zentrum 10) installiert werden. Alternativ kann die Ziel-ECU, die die Aktualisierungsdaten empfangen hat, die Installation auch ohne einen Empfang einer ausdrücklichen Anweisung vom OTA-Master 30 selbständig ausführen.
Die Aktivierung ist eine Verarbeitung, bei der die Ziel-ECU die installierte Aktualisierungssoftware freigibt (aktiviert). Die Aktivierungsphase weist nicht nur die Ausführung der Aktivierung, sondern auch eine Reihe von Steuerungen, die die Aktivierung betreffen, wie etwa eine Bestimmung, ob die Aktivierung ausgeführt werden kann, eine Anfrage der Akzeptanz des Nutzers oder des Administrators des Fahrzeugs für die Aktivierung und eine Überprüfung eines Ausführungsergebnisses, auf.
Die Aktualisierungssoftware kann von der Ziel-ECU auf Grundlage einer Aktivierungsanfrage (oder -anweisung) von dem OTA-Master 30 (oder dem Zentrum 10) aktiviert werden. Alternativ kann die Ziel-ECU, die die Aktualisierungsdaten empfangen hat, die Aktivierung nach Abschluss der Installation ohne Empfang einer expliziten Anweisung vom OTA-Master 30 selbständig ausführen.
Die Softwareaktualisierungsverarbeitung kann für die elektronischen Steuereinheiten nacheinander oder parallel ausgeführt werden.
Die „Softwareaktualisierungsverarbeitung“ weist dabei nicht nur eine Verarbeitung zum sukzessiven Ausführen aller Vorgänge, Herunterladen, Installation und Aktivierung, sondern auch eine Verarbeitung zum Ausführen nur eines Teils der Vorgänge, Herunterladen, Installation und Aktivierung, auf.
Verarbeitungen
Als nächstes werden Verarbeitungen, die in dem Netzwerksystem gemäß der vorliegenden Ausführungsform auszuführen sind, ebenfalls unter Bezugnahme auf die 7 bis 10 beschrieben.
7 ist ein Ablaufdiagramm, das eine Aktualisierungsüberprüfungsanfrageverarbeitung, die von den Komponenten des Zentrums 10 auszuführen ist, darstellt. Die in 7 dargestellte Aktualisierungsüberprüfungsanfrageverarbeitung wird gestartet, wenn das Zentrum 10 eine vom OTA-Master 30 übertragene Aktualisierungsüberprüfungsanfrage empfängt.
Schritt S701
Die Bestimmungseinheit 18 erlangt gegenwärtige Versionen der Softwareprodukte der elektronischen Steuereinheiten 50a bis 50d, die an dem Fahrzeug angebracht sind, auf Grundlage der Aktualisierungüberprüfungsanfrage, die von dem OTA-Master 30 durch die Kommunikationseinheit 16 empfangen wurde. Wenn die gegenwärtigen Softwareversionen erlangt sind, geht die Verarbeitung zu Schritt S702.
Schritt S702
Die Bestimmungseinheit 18 überprüft eine Konsistenz der Softwareversionen. Die Konsistenz wird durch Bestimmen, ob jede vom Fahrzeug erlangte gegenwärtige Softwareversion mit der Softwareversion der letzten Aktualisierung im Fahrzeug übereinstimmt, die als Aktualisierungsaufzeichnungsinformation im Speicher 15 des Zentrums 10 gespeichert ist, überprüft. Wenn die Konsistenz überprüft ist, geht die Verarbeitung zu Schritt S703.
Schritt S703
Als Ergebnis der Überprüfung der Konsistenz bestimmt die Bestimmungseinheit 18, ob die Softwareversionen der elektronischen Steuereinheiten 50a bis 50d konsistent sind oder nicht. Die Bestimmungseinheit 18 bestimmt, dass jede gegenwärtige Softwareversion konsistent ist, wenn die gegenwärtige Softwareversion mit der Version der letzten Aktualisierung übereinstimmt. Die Bestimmungseinheit 18 bestimmt, dass jede gegenwärtige Softwareversion nicht konsistent ist, wenn die gegenwärtige Softwareversion mit der Version der letzten Aktualisierung nicht übereinstimmt. Wenn die Bestimmungseinheit 18 bestimmt, dass die gegenwärtige Softwareversion konsistent ist (JA in Schritt S703), geht die Verarbeitung zu Schritt S704. Wenn die Bestimmungseinheit 18 bestimmt, dass die gegenwärtige Softwareversion nicht konsistent ist (NEIN in Schritt S703), geht die Verarbeitung zu Schritt S705.
Schritt S704
Da jede Softwareversion konsistent ist, ermöglicht die Steuereinheit 17 die Aktualisierungsdatenverteilung durch OTA. Wenn die Aktualisierungsdatenverteilung durch OTA aktiviert ist, geht die Verarbeitung zu Schritt S706.
Schritt S705
Da jede Softwareversion nicht konsistent ist, deaktiviert die Steuereinheit 17 die Aktualisierungsdatenverteilung durch OTA. Wenn die Aktualisierungsdatenverteilung durch OTA deaktiviert ist, geht die Verarbeitung zu Schritt S707.
Die Konsistenz der Softwareversionen wird unter Bezugnahme auf die 8A bis 8C beschrieben. Die 8A bis 8C stellen ein Beispiel dar, in dem gegenwärtige Softwareversionen der elektronischen Steuereinheiten ECU-A, ECU-B und ECU-C in einem Fall, in dem der Speicher 15 des Zentrums 10 die in 6 dargestellte Aktualisierungsaufzeichnungsinformation speichert, vom OTA-Master 30 an das Zentrum 10 übertragen wird. In 8A stimmen die gegenwärtigen Versionen „ECU-A: 2.0, ECU-B: 2.0, ECU-C: 3.0“ mit den Versionen der letzten Aktualisierung überein (Versionen der Nr. 3 in 6). Folglich ist die Aktualisierungsdatenverteilung durch OTA aktiviert. In 8B ist die Version von ECU-C unter den gegenwärtigen Versionen „ECU-A: 2.0, ECU-B: 2.0, ECU-C: 1.0“ älter als die Version der letzten Aktualisierung (Version von Nr. 3 in 6) und stimmt mit der Version der letzten Aktualisierung nicht überein. Folglich ist die Aktualisierungsdatenverteilung durch OTA deaktiviert. In 8C ist die Version von ECU-A unter den gegenwärtigen Versionen „ECU-A: 3.0, ECU-B: 2.0, ECU-C: 3.0“ neuer als die Version der letzten Aktualisierung (Version von Nr. 3 in 6) und stimmt nicht mit der Version der letzten Aktualisierung überein. Folglich ist die Aktualisierungsdatenverteilung durch OTA deaktiviert.
Schritt S706
Die Steuereinheit 17 bestimmt auf Grundlage der im Speicher 15 gespeicherten Aktualisierungsverwaltungsinformation, ob Softwareaktualisierungsdaten für die elektronischen Steuereinheiten 50a bis 50d, die an dem Fahrzeug angebracht sind, das durch die in der Aktualisierungsüberprüfungsanfrage vorhandene Fahrzeug-ID identifiziert ist, vorhanden sind. Auf Grundlage eines Bestimmungsergebnisses überträgt die Steuereinheit 17 eine Information, die das Vorhandensein oder das Fehlen von Aktualisierungsdaten angibt, an den OTA-Master 30. Wenn die Information, die das Vorhandensein oder das Fehlen von Aktualisierungsdaten angibt, übertragen wird, wird die Aktualisierungsüberprüfungsanfrageverarbeitung beendet.
Schritt S707
Die Kommunikationseinheit 16 überträgt eine Fehlerbenachrichtigung, die angibt, dass die Aktualisierungsdatenverteilung deaktiviert wurde, an den OTA-Master 30. Wenn die Fehlerbenachrichtigung übertragen wird, wird die Aktualisierungsüberprüfungsanfrageverarbeitung beendet. Sogar wenn die Fehlerbenachrichtigung übertragen wird, kann die Information, die das Vorhandensein oder das Fehlen von Aktualisierungsdaten angibt, wie in Schritt S706, an den OTA-Master 30 übertragen werden.
Die oben beschriebene Ausführungsform bezieht sich auf das Beispiel, in dem, wenn in Schritt S703 eine Bestimmung gemacht wird, dass die einzelnen Softwareversionen nicht konsistent sind, das Zentrum 10 die Aktualisierungsdatenverteilung durch OTA deaktiviert und die Fehlerbenachrichtigung an den OTA-Master 30 überträgt (Schritte S705 und S707). Wenn eine Bestimmung gemacht werden kann, dass die vom Fahrzeug empfangene gegenwärtige Softwareversion einen Fehler aufweist, kann das Zentrum 10 an den OTA-Master 30 die Aktualisierungsdaten verteilen, die zur Eliminierung dieses Fehlers notwendig sind, ohne die Aktualisierungsdatenverteilung durch OTA zu deaktivieren.
9 ist ein Ablaufdiagramm, das eine Verarbeitung einer Herunterladanfrageverarbeitung darstellt, die von den Komponenten des Zentrums 10 auszuführen ist. Die in 9 dargestellte Herunterladanfrageverarbeitung wird gestartet, wenn das Zentrum 10 eine vom OTA-Master 30 übertragene Verteilungspaketherunterladanfrage empfängt.
Schritt S901
Die Steuereinheit 17 bestimmt, ob die Aktualisierungsdatenverteilung durch OTA aktiviert ist. Wenn die Aktualisierungsdatenverteilung durch OTA aktiviert ist (JA in Schritt S901), geht die Verarbeitung zu Schritt S905. Wenn die Aktualisierungsdatenverteilung durch OTA deaktiviert ist (NEIN in Schritt S901), geht die Verarbeitung zu Schritt S902.
Schritt S902
Die Anfrageeinheit 19 fragt bei dem Zentrum (zweites Zentrum), das von dem Zentrum 10 unterschiedlich ist, oder dem Kommunikationsendgerät, das sich im Besitz des Händlers oder des Nutzers befindet, vorhergehend an, ob die Softwareversionen der elektronischen Steuereinheiten 50a bis 50d geändert wurden. Wenn die Anfrage gemacht ist, geht die Verarbeitung zu Schritt S903.
Schritt S903
Die Empfangseinheit 20 bestimmt, ob eine Anweisung zum Beenden des deaktivierten Zustands der Aktualisierungsdatenverteilung durch OTA empfangen wurde. Als Beispiel für die Anweisung zum Beenden des deaktivierten Zustands wird ein vom Zentrum 10 ausgegebenes Einmalpasswort an das Kommunikationsgerät des Händlers oder des Nutzers oder an ein als Fahrzeugschlüssel registriertes mobiles Endgerät übertragen und der Händler oder der Nutzer gibt das Einmalpasswort über das Web zurück (gibt dieses ein). Zusätzlich sind die folgenden Verfahren denkbar. Der Nutzer wird in einer vorgegebenen Servicestelle (Servicestelle des Fahrzeugherstellers (OEM) oder dergleichen) telefonisch authentifiziert und die Servicestelle gibt dann die Anweisung zum Beenden an das Zentrum 10. Alternativ arbeitet ein Händlersystem, in dem ein Zeitplan für die Einfahrt des Fahrzeugs zum Händler bestätigt wurde, mit dem Zentrum 10 zusammen und die Anweisung zum Beenden wird dadurch gegeben, dass das Zentrum 10 über die Arbeit des Händlers vorhergehend informiert wird. Wenn die Anweisung zum Beenden des deaktivierten Zustands empfangen wird (JA in Schritt S903), geht die Verarbeitung zu Schritt S904. Wenn die Anweisung zum Beenden des deaktivierten Zustands nicht empfangen wird (NEIN in Schritt S903), wird die Herunterladanfrageverarbeitung beendet.
Schritt S904
Da die Steuereinheit 17 angewiesen wird, den deaktivierten Zustand der Aktualisierungsdatenverteilung durch OTA zu beenden, aktiviert die Steuereinheit 17 die Aktualisierungsdatenverteilung. Wenn die Aktualisierungsdatenverteilung durch OTA aktiviert ist, geht die Verarbeitung zu Schritt S905.
Schritt S905
Die Steuereinheit 17 erzeugt ein Verteilungspaket, das Softwareaktualisierungsdaten für die elektronischen Steuereinheiten 50a bis 50d aufweist. Die Kommunikationseinheit 16 überträgt das von der Steuereinheit 17 erzeugte Verteilungspaket an den OTA-Master 30. Wenn das Verteilungspaket erstellt und übertragen ist, wird die Herunterladanfrageverarbeitung beendet.
10 ist ein Ablaufdiagramm, das eine Verarbeitung einer Softwareaktualisierungssteuerverarbeitung darstellt, die von den Komponenten des OTA-Masters 30 auszuführen ist. Zum Beispiel wird die in 10 dargestellte Softwareaktualisierungssteuerverarbeitung ausgeführt, wenn das Fahrzeug angeschaltet wird.
Schritt S1001
Die Kommunikationseinheit 38 überträgt an das Zentrum 10 eine Überprüfungsanfrage, ob Softwareaktualisierungsdaten für die elektronischen Steuereinheiten 50a bis 50d vorhanden sind. Diese Überprüfungsanfrage weist die Fahrzeug-ID und die gegenwärtigen Softwareversionen der elektronischen Steuereinheiten 50a bis 50d auf. Wenn die Überprüfungsanfrage an das Zentrum 10 übertragen ist, geht die Verarbeitung zu Schritt S1002.
Schritt S1002
Die Kommunikationseinheit 38 empfängt vom Zentrum 10 ein Überprüfungsergebnis in Antwort auf die Aktualisierungsdatenüberprüfungsanfrage. Wenn das Überprüfungsergebnis empfangen wird, geht die Verarbeitung zu Schritt S1003.
Schritt S1003
Die Steuereinheit 39 bestimmt, ob die Softwareaktualisierung ausgeführt werden kann. Diese Bestimmung kann auf Grundlage davon gemacht werden, ob die Kommunikationseinheit 38 von dem Zentrum 10 eine Fehlerbenachrichtigung, die angibt, dass die Aktualisierungsdatenverteilung deaktiviert wurde, empfangen hat. Wenn die Softwareaktualisierung ausgeführt werden kann (JA in Schritt S1003), geht die Verarbeitung zu Schritt S1004. Wenn die Softwareaktualisierung nicht ausgeführt werden kann (NEIN in Schritt S1003), geht die Verarbeitung zu Schritt S1008.
Schritt S1004
Die Steuereinheit 39 bestimmt auf Grundlage des Prüfergebnisses in Antwort auf die durch die Kommunikationseinheit 38 empfangene Aktualisierungsdatenüberprüfungsanfrage, ob Softwareaktualisierungsdaten für mindestens eine der elektronischen Steuereinheiten 50a bis 50d vorhanden sind. Wenn mindestens ein Teil der Softwareaktualisierungsdaten vorhanden ist (JA in Schritt S1004), geht die Verarbeitung zu Schritt S1005. Wenn keine Softwareaktualisierungsdaten vorhanden sind (NEIN in Schritt S1004), wird die Softwareaktualisierungssteuerverarbeitung beendet.
Schritt S1005
Die Steuereinheit 39 lädt die Aktualisierungsdaten herunter. Insbesondere überträgt die Kommunikationseinheit 38 eine Verteilungspaketherunterladanfrage an das Zentrum 10. Die Kommunikationseinheit 38 empfängt ein Verteilungspaket, das vom Zentrum 10 in Antwort auf die Herunterladanfrage übertragen wurde. Die Kommunikationseinheit 38 speichert das empfangene Verteilungspaket in dem Speicher 37. Wenn die Aktualisierungsdaten heruntergeladen sind, geht die Verarbeitung zu Schritt S1006.
Schritt S1006
Die Steuereinheit 39 führt die Installationsverarbeitung für die Ziel-ECU aus. Insbesondere überträgt die Steuereinheit 39 die Aktualisierungsdaten im Verteilungspaket an die Ziel-ECU und weist die Ziel-ECU an, die Aktualisierungsdaten zu installieren. Die Ziel-ECU schreibt die vom OTA-Master 30 empfangenen Aktualisierungsdaten in den Datenspeicherbereich. Wenn die Installation ausgeführt ist, geht die Verarbeitung zu Schritt S1007.
Schritt S1007
Die Steuereinheit 39 führt die Aktivierungsverarbeitung für die Ziel-ECU aus. Insbesondere weist die Steuereinheit 39 die Ziel-ECU, die die Aktualisierungsdaten in den Datenspeicherbereich geschrieben hat, an, die aktualisierte Version der Software zu aktivieren. Die Ziel-ECU wird neu gestartet und führt die aktualisierte Software aus, wenn eine bestimmte Eingabebetätigung, wie etwa ein Ausschalten, durchgeführt wird. Wenn die Aktivierungsverarbeitung ausgeführt ist, wird die Softwareaktualisierungssteuerverarbeitung beendet.
Schritt S1008
Die Ausgabeeinheit 40 gibt auf Grundlage der Fehlerbenachrichtigung, die vom Zentrum 10 durch die Kommunikationsvorrichtung 38 empfangen wird, eine Anweisung zum Anzeigen eines Fehlers auf der Anzeigevorrichtung 70 aus. Wenn die Fehleranzeigeanweisung gegeben wird, wird die Softwareaktualisierungssteuerverarbeitung beendet.
Effekte
Das Zentrum 10 überträgt, wie oben beschrieben, in dem Netzwerksystem gemäß der vorliegenden Erfindung die Fehlerbenachrichtigung an das Fahrzeug, wenn die gegenwärtigen Softwareversionen der elektronischen Steuereinheiten 50a bis 50d, die vom Fahrzeug (OTA-Master 30) empfangen werden, mit den Versionen der letzten Aktualisierung in der Softwareaktualisierungsaufzeichnungsinformation der elektronischen Steuereinheiten 50a bis 50d, die von dem Zentrum 10 gespeichert und verwaltet wird, nicht übereinstimmen. Mit dieser Benachrichtigung ist es möglich, zu erkennen, dass sich die Softwareversionen durch andere Umstände als die Softwareaktualisierung durch OTA in dem Fahrzeug geändert haben, sogar wenn die Versionen aufgrund eines unautorisierten Umschreibens der Software geändert wurden. Durch Anzeigen des Fehlers auf der Anzeigevorrichtung 70 oder dergleichen auf Grundlage der Fehlerbenachrichtigung ist es möglich, dem Nutzer oder dergleichen mitzuteilen, dass die Softwareaktualisierung durch OTA nicht ausgeführt werden kann.
Wenn die gegenwärtigen Softwareversionen der elektronischen Steuereinheiten 50a bis 50d nicht mit den Versionen der letzten Aktualisierung in der Aktualisierungsaufzeichnungsinformation übereinstimmen, deaktiviert das Zentrum 10 die Aktualisierungsdatenverteilung durch OTA. Als Ergebnis ist es möglich, die Aktualisierungsdatenverteilung an die elektronische Steuereinheit, die nicht autorisierte Software aufweist, zu unterdrücken.
Wenn die gegenwärtigen Softwareversionen der elektronischen Steuereinheiten 50a bis 50d aus gutem Grund nicht mit den Versionen der letzten Aktualisierung in der Aktualisierungsaufzeichnungsinformation übereinstimmen, kann das Zentrum 10 den deaktivierten Zustand der Aktualisierungsdatenverteilung durch OTA in Antwort auf die Anweisung des Nutzers oder dergleichen beenden. Somit wird der Komfort des Nutzers nicht mehr als nötig beeinträchtigt.
Wenn die gegenwärtigen Softwareversionen der elektronischen Steuereinheiten 50a bis 50d nicht mit den Versionen der letzten Aktualisierung in der Aktualisierungsaufzeichnungsinformation übereinstimmen, kann das Zentrum 10 bei dem Zentrum (zweiten Zentrum), das von dem Zentrum 10 unterschiedlich ist, oder dem Kommunikationsendgerät des Händlers oder des vorregistrierten Nutzers anfragen, ob die Softwareversionen der elektronischen Steuereinheiten 50a bis 50d geändert wurden. Somit ist es möglich, zu überprüfen, ob sich die Softwareversionen durch unautorisiertes Umschreiben der Software geändert haben.
Die Reihenfolge der Fehlerbenachrichtigung, der Deaktivierung der Aktualisierungsdatenverteilung durch OTA und der Anfrage an den Nutzer oder dergleichen ist nicht auf die Ausführungsform beschränkt und kann beliebig festgelegt werden.
Obwohl die Ausführungsform der Technologie der vorliegenden Erfindung oben beschrieben wurde, kann die vorliegende Erfindung nicht nur als das Zentrum, sondern zum Beispiel auch als ein Verteilungssteuerverfahren, das von einem Zentrum, das einen Prozessor, einen Speicher und eine Speichervorrichtung aufweist, auszuführen ist, ein Verteilungssteuerungsprogramm oder ein nicht-transitorisches computerlesbares Speichermedium, das das Verteilungssteuerungsprogramm speichert, verstanden werden. Das Zentrum kann einen oder mehrere Prozessoren aufweisen.
Die Technologie der vorliegenden Erfindung kann in einem Netzwerksystem zum Aktualisieren von Software einer elektronischen Steuereinheit verwendet werden.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

JP 2018181377 [0004]
JP 2018181377 A [0004]

Claims

Zentrum, das so konfiguriert ist, dass es mit einem Fahrzeug kommuniziert, wobei das Zentrum einen oder mehrere Prozessoren (11) aufweist, die so konfiguriert sind, dass sie: eine Aktualisierungsaufzeichnung von Software einer elektronischen Steuereinheit, die an dem Fahrzeug angebracht ist, speichern; eine gegenwärtige Version der Software der elektronischen Steuereinheit von dem Fahrzeug empfangen; bestimmen, ob die empfangene gegenwärtige Version mit einer Version einer letzten Aktualisierung, die in der Aktualisierungsaufzeichnung aufgezeichnet ist, übereinstimmt; und eine Fehlerbenachrichtigung an das Fahrzeug übertragen, wenn der eine oder die mehreren Prozessoren (11) bestimmen, dass die empfangene gegenwärtige Version mit der Version der letzten Aktualisierung nicht übereinstimmt.
Zentrum gemäß Anspruch 1, wobei der eine oder die mehreren Prozessoren (11) so konfiguriert sind, dass sie eine Aktualisierungsdatenverteilung zu dem Fahrzeug deaktivieren, wenn der eine oder die mehreren Prozessoren (11) bestimmen, dass die empfangene gegenwärtige Version mit der Version der letzten Aktualisierung nicht übereinstimmt.
Zentrum gemäß Anspruch 2, wobei der eine oder die mehreren Prozessoren (11) so konfiguriert sind, dass sie bei einem Endgerät oder einem zweiten Zentrum, das von dem Zentrum unterschiedlich ist, anfragen, ob die Version der Software der elektronischen Steuereinheit geändert wurde, wenn der eine oder die mehreren Prozessoren (11) bestimmen, dass die empfangene gegenwärtige Version mit der Version der letzten Aktualisierung nicht übereinstimmt.
Zentrum gemäß Anspruch 3, wobei der eine oder die mehreren Prozessoren (11) so konfiguriert sind, dass sie die Aktualisierungsdatenverteilung an das Fahrzeug deaktivieren, wenn der eine oder die mehreren Prozessoren (11) von dem Endgerät oder dem zweiten Zentrum eine Benachrichtigung empfangen, die angibt, dass die Version der Software der elektronischen Steuereinheit nicht geändert worden ist.
Zentrum gemäß Anspruch 2, wobei der eine oder die mehreren Prozessoren (11) so konfiguriert sind, dass sie, wenn die gegenwärtige Version, die durch den einen oder die mehreren Prozessoren (11) empfangen wird, einen Fehler aufweist, Aktualisierungsdaten zum Eliminieren des Fehlers verteilen, ohne die Aktualisierungsdatenverteilung an das Fahrzeug zu deaktivieren.
Zentrum gemäß einem der Ansprüche 2 bis 4, wobei der eine oder die mehreren Prozessoren (11) so konfiguriert sind, dass sie: eine Anweisung zum Beenden eines deaktivierten Zustands der Aktualisierungsdatenverteilung empfangen; und die Aktualisierungsdatenverteilung an das Fahrzeug ermöglichen, wenn der eine oder die mehreren Prozessoren (11) die Anweisung empfangen.
Verteilungssteuerverfahren für Softwareaktualisierungsdaten, das von einem Computer eines Zentrums auszuführen ist, das einen oder mehrere Prozessoren (11), einen Speicher und eine Speichervorrichtung aufweist, wobei das Zentrum so konfiguriert ist, dass es mit einem Fahrzeug kommuniziert, wobei das Verteilungssteuerverfahren aufweist: Speichern einer Aktualisierungsaufzeichnung von Software einer elektronischen Steuereinheit, die an einem Fahrzeug angebracht ist; Empfangen einer gegenwärtigen Version der Software der elektronischen Steuereinheit von dem Fahrzeug; Bestimmen, ob die empfangene gegenwärtige Version mit einer Version einer letzten Aktualisierung, die in der Aktualisierungsaufzeichnung aufgezeichnet ist, übereinstimmt; und Übertragen einer Fehlerbenachrichtigung an das Fahrzeug, wenn eine Bestimmung gemacht wird, dass die empfangene gegenwärtige Version mit der Version der letzten Aktualisierung nicht übereinstimmt.
Nicht-transitorisches Speichermedium, das Anweisungen speichert, die durch einen Computer eines Zentrums ausführbar sind und die den Computer veranlassen, Funktionen auszuführen, wobei das Zentrum einen oder mehrere Prozessoren (11), einen Speicher und eine Speichervorrichtung aufweist, wobei das Zentrum so konfiguriert ist, dass es mit einem Fahrzeug kommuniziert, wobei die Funktionen aufweisen: Speichern einer Aktualisierungsaufzeichnung von Software einer elektronischen Steuereinheit, die an einem Fahrzeug angebracht ist; Empfangen einer gegenwärtigen Version der Software der elektronischen Steuereinheit von dem Fahrzeug; Bestimmen, ob die empfangene gegenwärtige Version mit einer Version einer letzten Aktualisierung, die in der Aktualisierungsaufzeichnung aufgezeichnet ist, übereinstimmt; und Übertragen einer Fehlerbenachrichtigung an das Fahrzeug, wenn eine Bestimmung gemacht wird, dass die empfangene gegenwärtige Version nicht mit der Version der letzten Aktualisierung übereinstimmt.