DE102022109778A1

DE102022109778A1 - Ota-master, verfahren und nicht-transitorisches speichermedium

Info

Publication number: DE102022109778A1
Application number: DE102022109778.1A
Authority: DE
Inventors: Tomoyasu Ishikawa; Shunsuke TANIMORI; Nana Kikuire
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2021-04-26
Filing date: 2022-04-22
Publication date: 2022-10-27
Also published as: JP2022168516A; CN115248696A; US20220342652A1; JP7447864B2

Abstract

Ein OTA-Master, der dazu eingerichtet ist, eine Softwareaktualisierung auf einer in einem Fahrzeug eingebauten ECU zu steuern, weist einen oder mehrere Prozessoren (31) auf. Der eine oder die mehreren Prozessoren (31) sind dazu eingerichtet: Softwareaktualisierungsdaten auf der ECU von einer OTA-Zentrale herunterzuladen; die Softwareaktualisierung auf der ECU unter Verwendung der Aktualisierungsdaten zu steuern; und wenn die Aktualisierungsdaten verschlüsselt wurden und ein Entschlüsselungsprozess notwendig ist, aber der Entschlüsselungsprozess fehlschlägt, eine Benachrichtigung, die anzeigt, dass der Entschlüsselungsprozess fehlschlägt, an die OTA-Zentrale zu senden.

Description

Hintergrund der Erfindung
1. Technisches Gebiet
Die vorliegende Erfindung bezieht sich auf OTA-Master, Verfahren und nichttransitorische Speichermedien zur Steuerung von Softwareaktualisierungen auf elektronischen Steuereinheiten bzw. Electronic Control Units (ECUs).
2. Stand der Technik
Ein Fahrzeug ist mit einer Vielzahl von elektronischen Steuereinheiten (ECUs) ausgestattet, die den Betrieb des Fahrzeugs steuern. Jede ECU enthält einen Prozessor, eine temporäre Speichereinheit, wie z.B. einen Direktzugriffsspeicher (RAM), und eine nichtflüchtige Speichereinheit, wie z.B. einen Flash-Festwertspeicher (ROM). Die Steuerfunktionen jeder ECU werden durch den Prozessor ausgeführt, der die in der nichtflüchtigen Speichereinheit gespeicherte Software ausführt. Die in jeder ECU gespeicherte Software ist wiederbeschreibbar, und es ist möglich, die Funktionen jeder ECU zu verbessern oder eine neue Fahrzeugsteuerungsfunktion zu jeder ECU hinzuzufügen, indem die Software auf eine neuere Version aktualisiert wird.
Eine Over-the-Air (OTA)-Technik ist als eine Technik zur Softwareaktualisierung einer ECU bekannt. Bei der OTA-Technik wird ein Programm auf der ECU aktualisiert oder ein Programm auf der ECU hinzugefügt, indem eine fahrzeuginterne Kommunikationsvorrichtung, die mit einem fahrzeuginternen Netzwerk verbunden ist, drahtlos mit einem Kommunikationsnetzwerk wie dem Internet verbunden wird, Software (Aktualisierungsdaten) von einer OTA-Zentrale bzw. OTA-Center über eine drahtlose Kommunikation heruntergeladen wird und die heruntergeladene Software installiert wird (siehe z. B. JP 2004 - 326 689 A ).
Die Aktualisierungsdaten, die von der OTA-Zentrale an das Fahrzeug gesendet werden, sind verschlüsselt, und das Fahrzeug entschlüsselt die Aktualisierungsdaten, um das Programm (die Software) auf der ECU zu aktualisieren.
Zusammenfassung der Erfindung
Es gibt Fälle, in denen das Fahrzeug die von der OTA-Zentrale empfangenen Aktualisierungsdaten nicht entschlüsseln kann. Beispiele für solche Fälle sind: wenn die ECU des Fahrzeugs aufgrund eines Austauschs der ECU nicht mehr über eine Entschlüsselungsfunktion verfügt, wenn sich die Version der Software auf der ECU in ungeeigneter Weise geändert hat (wenn die Software auf der ECU nicht mit der Verschlüsselungsmethode der Aktualisierungsdaten kompatibel ist), wenn die verschlüsselten Aktualisierungsdaten beschädigt wurden, und wenn die Aktualisierungsdaten manipuliert worden sind. In solchen Fällen müssen geeignete Maßnahmen ergriffen werden, da das Fahrzeug die von der OTA-Zentrale empfangenen Aktualisierungsdaten nicht entschlüsseln kann.
Die vorliegende Erfindung stellt einen OTA-Master, ein Verfahren und ein nicht-transitorisches Speichermedium bereit, die geeignete Maßnahmen ergreifen können, wenn ein Fahrzeug die von einer OTA-Zentrale empfangenen Aktualisierungsdaten nicht entschlüsseln kann.
Ein OTA-Master gemäß der vorliegenden Erfindung ist dazu eingerichtet, eine Softwareaktualisierung auf einer in einem Fahrzeug eingebauten ECU zu steuern. Der OTA-Master weist einen oder mehrere Prozessoren auf. Der eine oder die mehreren Prozessoren sind dazu eingerichtet, Softwareaktualisierungsdaten auf der ECU von einer OTA-Zentrale bzw. von einem OTA-Center herunterzuladen. Der eine oder die mehreren Prozessoren sind dazu eingerichtet, die Softwareaktualisierung auf der ECU unter Verwendung der Aktualisierungsdaten zu steuern. Der eine oder die mehreren Prozessoren sind dazu eingerichtet, wenn die Aktualisierungsdaten verschlüsselt worden sind und ein Entschlüsselungsprozess notwendig ist, aber der Entschlüsselungsprozess fehlschlägt, eine Benachrichtigung, die anzeigt, dass der Entschlüsselungsprozess fehlschlägt oder fehlgeschlagen ist, an die OTA-Zentrale zu senden.
In dem OTA-Master gemäß der vorliegenden Erfindung können der eine oder die mehreren Prozessoren dazu eingerichtet sein, den Entschlüsselungsprozess durchzuführen, wenn die Aktualisierungsdaten verschlüsselt worden sind und die Aktualisierungsdaten den Entschlüsselungsprozess durch den OTA-Master benötigen. Der eine oder die mehreren Prozessoren können dazu eingerichtet sein, wenn der Entschlüsselungsprozess fehlschlägt, eine Benachrichtigung, die anzeigt, dass der Entschlüsselungsprozess durch den OTA-Master fehlschlägt, an die OTA-Zentrale zu senden.
In dem OTA-Master gemäß der vorliegenden Erfindung können der eine oder die mehreren Prozessoren dazu eingerichtet sein, die Aktualisierungsdaten an die ECU zu senden, um die ECU zu veranlassen, den Entschlüsselungsprozess durchzuführen, wenn die Aktualisierungsdaten verschlüsselt worden sind und die Aktualisierungsdaten den Entschlüsselungsprozess durch die ECU durchführen müssen. Der eine oder die mehreren Prozessoren können dazu eingerichtet sein, wenn der eine oder die mehreren Prozessoren von der ECU Informationen empfangen, die anzeigen, dass der Entschlüsselungsprozess fehlgeschlagen ist, eine Benachrichtigung, die anzeigt, dass der Entschlüsselungsprozess durch die ECU fehlgeschlagen ist, an die OTA-Zentrale zu senden.
In dem OTA-Master gemäß der vorliegenden Erfindung können der eine oder die mehreren Prozessoren dazu eingerichtet sein, wenn der Entschlüsselungsprozess fehlschlägt, eine Benachrichtigung mit Informationen, die einen Grund für das Fehlschlagen des Entschlüsselungsprozesses angeben, an die OTA-Zentrale zu senden.
In dem OTA-Master gemäß der vorliegenden Erfindung können der eine oder die mehreren Prozessoren dazu eingerichtet sein, eine vorbestimmte Benachrichtigung an einen Benutzer zu senden, wenn der Entschlüsselungsprozess fehlschlägt.
Ein Verfahren gemäß der vorliegenden Erfindung wird von einem Computer eines OTA-Masters durchgeführt, der dazu eingerichtet ist, eine Softwareaktualisierung auf einer in einem Fahrzeug eingebauten ECU zu steuern. Der Computer weist einen oder mehrere Prozessoren und einen Speicher auf. Das Verfahren enthält: Herunterladen von Softwareaktualisierungsdaten auf die ECU von einer OTA-Zentrale; Steuern der Softwareaktualisierung auf der ECU unter Verwendung der Aktualisierungsdaten; und, wenn die Aktualisierungsdaten verschlüsselt wurden und ein Entschlüsselungsprozess notwendig ist, der Entschlüsselungsprozess aber fehlschlägt, Senden einer Benachrichtigung, die anzeigt, dass der Entschlüsselungsprozess fehlschlägt, an die OTA-Zentrale.
Ein nicht-transitorisches Speichermedium gemäß der vorliegenden Erfindung speichert Anweisungen, die von einem Computer eines OTA-Masters ausgeführt werden können, der dazu eingerichtet ist, eine Softwareaktualisierung auf einer in einem Fahrzeug montierten ECU zu steuern, und die den Computer veranlassen, Funktionen auszuführen. Der OTA-Master weist einen oder mehrere Prozessoren und einen Speicher auf. Die Funktionen enthalten: Herunterladen von Softwareaktualisierungsdaten auf die ECU von einer OTA-Zentrale; Steuern der Softwareaktualisierung auf der ECU unter Verwendung der Aktualisierungsdaten; und wenn die Aktualisierungsdaten verschlüsselt wurden und ein Entschlüsselungsprozess notwendig ist, der Entschlüsselungsprozess aber fehlschlägt, Senden einer Benachrichtigung, die anzeigt, dass der Entschlüsselungsprozess fehlschlägt, an die OTA-Zentrale.
Mit der vorliegenden Erfindung werden ein OTA-Master, ein Verfahren und ein nicht-transitorisches Speichermedium bereitgestellt, die geeignete Maßnahmen ergreifen können, wenn ein Fahrzeug die von einer OTA-Zentrale empfangenen Aktualisierungsdaten nicht entschlüsseln kann.
Figurenliste
Merkmale, Vorteile und technische und industrielle Bedeutung von beispielhaften Ausführungsformen der Erfindung werden im Folgenden unter Bezugnahme auf die beigefügten Figuren beschrieben, in denen gleiche Zeichen gleiche Elemente bezeichnen, und wobei:

1 ein Blockdiagramm, das ein Beispiel für eine Gesamtkonfiguration eines Netzwerksystems gemäß einer Ausführungsform zeigt, ist;
2 ein Blockdiagramm, das ein Beispiel für eine schematische Konfiguration einer in 1 gezeigten OTA-Zentrale zeigt, ist;
3 ein Blockdiagramm, das ein Beispiel für eine schematische Konfiguration eines in 1 gezeigten OTA-Masters zeigt, ist;
4 ein Blockdiagramm, das ein Beispiel für eine schematische Konfiguration einer in 1 gezeigten ECU zeigt, ist;
5 ein funktionelles Blockdiagramm, das ein Beispiel für die in 1 gezeigte OTA-Zentrale zeigt, ist;
6 ein funktionelles Blockdiagramm, das ein Beispiel für den in 1 gezeigten OTA-Master zeigt, ist; und
7 ein Flussdiagramm, das ein Beispiel für einen Steuerprozess zeigt, der vom OTA-Master und jeder in 1 gezeigten ECU durchgeführt wird, ist.

Detaillierte Beschreibung der Ausführungsformen
Ausführungsform
1 ist ein Blockdiagramm, das ein Beispiel für eine Gesamtkonfiguration eines Netzwerksystems gemäß einer Ausführungsform zeigt. 2 ist ein Blockdiagramm, das ein Beispiel für eine schematische Konfiguration einer in 1 gezeigten OTA-Zentrale zeigt. 3 ist ein Blockdiagramm, das ein Beispiel für eine schematische Konfiguration eines in 1 gezeigten OTA-Masters zeigt.
Ein in 1 gezeigtes Netzwerksystem ist ein System zur Softwareaktualisierung auf elektronischen Steuereinheiten (ECUs) 13a bis 13d, die in einem Fahrzeug eingebaut sind, und weist eine OTA-Zentrale 1, ein im Fahrzeug eingebautes fahrzeuginternes Netzwerk 2 und ein Kommunikationsnetzwerk 5.
Die OTA-Zentrale 1 kann drahtlos mit einem im Fahrzeug eingebauten OTA-Master 11 über das Kommunikationsnetzwerk 5, z. B. das Internet, kommunizieren. Die OTA-Zentrale 1 verwaltet Softwareaktualisierungen für die im Fahrzeug eingebauten ECUs 13a bis 13d.
Wie in 2 gezeigt, weist die OTA-Zentrale 1 eine Zentraleinheit (CPU) 21, einen Arbeitsspeicher (RAM) 22, eine Speichereinrichtung 23 und eine Kommunikationsvorrichtung 24 auf. Die Speichervorrichtung 23 weist ein lesbares und beschreibbares Speichermedium wie ein Festplattenlaufwerk (HDD) oder ein Solid State Drive (SSD) auf. Die Speichervorrichtung 23 speichert beispielsweise ein Programm zur Durchführung des Softwareaktualisierungs-Managements, Informationen, die für das Softwareaktualisierungs-Management verwendet werden, und Aktualisierungsdaten für die ECUs. Die CPU 21 führt einen Steuerprozess durch, indem sie das aus der Speichervorrichtung 23 gelesene Programm unter Verwendung des RAM 22 als Arbeitsbereich ausführt. Die Kommunikationsvorrichtung 24 kommuniziert mit dem OTA-Master 11 über das Kommunikationsnetzwerk 5.
Wie in 1 gezeigt, weist das fahrzeuginterne Netzwerk 2 den OTA-Master 11, ein Kommunikationsmodul 12, die ECUs 13a bis 13d und eine Mensch-Maschine-Schnittstelle 14 (HMI; z.B. ein Anzeigegerät eines Fahrzeugnavigationssystems, auf dem eine Eingabeoperation durchgeführt werden kann) auf. Der OTA-Master 11 ist über einen Bus 15a mit dem Kommunikationsmodul 12 verbunden. Der OTA-Master 11 ist über einen Bus 15b mit den ECUs 13a, 13b verbunden. Der OTA-Master 11 ist über einen Bus 15c mit den ECUs 13c, 13d verbunden. Der OTA-Master 11 ist über einen Bus 15d mit dem HMI 14 verbunden. Der OTA-Master 11 kann über das Kommunikationsmodul 12 drahtlos mit der OTA-Zentrale 1 kommunizieren. Der OTA-Master 11 steuert Softwareaktualisierungen auf der ECU, deren Software (manchmal als „SW“ bezeichnet) zu aktualisieren ist (manchmal als „Ziel-ECU“ bezeichnet), aus den ECUs 13a bis 13d, aufgrund von der OTA-Zentrale 1 erhaltenen Aktualisierungsdaten. Das Kommunikationsmodul 12 ist eine Kommunikationsvorrichtung, die das fahrzeuginterne Netzwerk 2 und die OTA-Zentrale 1 miteinander verbindet. Die ECUs 13a bis 13d steuern den Betrieb der verschiedenen Teile des Fahrzeugs. Die HMI 14 wird verwendet, um während eines Softwareaktualisierungs-Prozesses für die ECUs 13a bis 13d verschiedene Anzeigen anzuzeigen, wie z. B. eine Anzeige, dass Aktualisierungsdaten vorhanden sind, einen Annahme-Anforderungsbildschirm, der einen Benutzer oder einen Administrator auffordert, eine Softwareaktualisierung zu akzeptieren, und ein Aktualisierungsergebnis. Obwohl die vier ECUs 13a bis 13d in 1 gezeigt sind, ist die Anzahl der ECUs nicht begrenzt. Die eine oder mehrere Ziel-ECUs 13a bis 13d können als OTA-Master 11 fungieren.
Wie in 3 gezeigt, weist der OTA-Master 11 einen Mikrocomputer 35 und eine Kommunikationsvorrichtung 36 auf. Der Mikrocomputer 35 weist eine CPU 31, einen RAM 32, einen ROM 33 und eine Speichervorrichtung 34 auf. Die CPU 31 führt einen Steuerprozess durch, indem sie ein aus dem ROM 33 gelesenes Programm unter Verwendung des RAM 32 als Arbeitsbereich ausführt. Die Kommunikationsvorrichtung 36 kommuniziert mit dem Kommunikationsmodul 12, den ECUs 13a bis 13d und der HMI 14 über die in 1 gezeigten Busse 15a bis 15d.
Von den ECUs 13a bis 13d wird die ECU 13a beschrieben. Wie in 4 gezeigt, weist die ECU 13a eine CPU 41, einen RAM 42, einen nichtflüchtigen Speicher 43 und eine Kommunikationsvorrichtung 45 auf. Die CPU 41 implementiert die Funktionen des ECUs 13a, indem sie ein aus dem nichtflüchtigen Speicher 43 gelesenes Programm ausführt, indem sie den RAM 42 als Arbeitsbereich verwendet, oder indem sie mit anderen Vorrichtungen kommuniziert, indem sie die Kommunikationsvorrichtung 45 verwendet. Die ECUs 13b bis 13d können eine ähnliche Konfiguration wie die ECU 13a aufweisen.
Der Softwareaktualisierungs-Prozess enthält eine Downloadphase, eine Installationsphase und eine Aktivierungsphase. In der Downloadphase werden die Aktualisierungsdaten von der OTA-Zentrale 1 auf den OTA-Master 11 heruntergeladen. In der Installationsphase überträgt der OTA-Master 11 die heruntergeladenen Aktualisierungsdaten an die Ziel-ECU und installiert die Aktualisierungsdaten (die Aktualisierungssoftware) in einem Speicherbereich der Ziel-ECU. In der Aktivierungsphase aktiviert die Ziel-ECU die installierte aktualisierte Version der Software.
Das Herunterladen ist ein Prozess, bei dem von der OTA-Zentrale 1 gesendete Aktualisierungsdaten empfangen und die empfangenen Aktualisierungsdaten in der Speichervorrichtung 34 gespeichert werden. Bei den Aktualisierungsdaten handelt es sich um Daten zur Softwareaktualisierung auf der ECU. Die Downloadphase enthält neben dem Empfang der Aktualisierungsdaten auch die Steuerung einer Reihe von Prozessen, die mit dem Download zusammenhängen, wie z.B. die Bestimmung, ob der Download durchgeführt werden kann und die Überprüfung der Aktualisierungsdaten. Die Installation ist ein Prozess zum Schreiben einer aktualisierten Version eines Programms (Softwareaktualisierung) in den nichtflüchtigen Speicher der Ziel-ECU auf der Grundlage der heruntergeladenen Aktualisierungsdaten. Die Installationsphase enthält neben der Ausführung der Installation auch die Steuerung einer Reihe von Prozessen, die mit der Installation zusammenhängen, wie z.B. die Feststellung, ob die Installation ausgeführt werden kann, die Übertragung der Aktualisierungsdaten und die Überprüfung einer aktualisierten Version eines Programms. Bei der Aktivierung handelt es sich um einen Prozess zur Aktivierung (Freischaltung) der installierten aktualisierten Version des Programms. Die Aktivierungsphase enthält neben der Ausführung der Aktivierung eine Reihe von Kontrollvorgängen im Zusammenhang mit der Aktivierung, z. B. die Feststellung, ob die Aktivierung ausgeführt werden kann, und die Überprüfung der Ausführungsergebnisse.
Die Aktualisierungsdaten, die von der OTA-Zentrale 1 an den OTA-Master 11 gesendet werden, können beliebige der folgenden Daten enthalten: Aktualisierungssoftware für die ECU, komprimierte Daten der Aktualisierungssoftware und geteilte Daten der Aktualisierungssoftware oder der komprimierten Daten. Die Aktualisierungsdaten können einen Identifikator enthalten, der die Ziel-ECU identifiziert (ECU-ID) und einen Identifikator, der die Software vor der Aktualisierung identifiziert (ECU-Software-ID). Die Aktualisierungsdaten werden in Form eines Verteilungspakets heruntergeladen. Das Verteilungspaket enthält Aktualisierungsdaten für eine oder mehrere ECUs.
Wenn die Aktualisierungsdaten Aktualisierungssoftware enthalten, überträgt der OTA-Master 11 die Aktualisierungsdaten (d.h. die Aktualisierungssoftware) in der Installationsphase an die Ziel-ECU. Wenn die Aktualisierungsdaten komprimierte Daten, Differenzdaten oder geteilte Daten der Aktualisierungssoftware enthalten, kann der OTA-Master 11 die Aktualisierungsdaten an die Ziel-ECU übertragen, und die Ziel-ECU kann die Aktualisierungssoftware aus den Aktualisierungsdaten erzeugen. Alternativ kann der OTA-Master 11 die Aktualisierungssoftware aus den Aktualisierungsdaten generieren und dann die Aktualisierungssoftware an die Ziel-ECU übertragen. Die Aktualisierungssoftware kann durch Dekomprimieren der komprimierten Daten oder Zusammensetzen der Differenzdaten oder der geteilten Daten erzeugt werden.
Die Installation der Aktualisierungssoftware kann durch die Ziel-ECU auf der Grundlage einer Installationsanforderung vom OTA-Master 11 ausgeführt werden. Alternativ kann die Ziel-ECU, die die Aktualisierungsdaten oder die Aktualisierungssoftware erhalten hat, die Aktualisierungssoftware selbständig installieren, ohne eine explizite Anweisung vom OTA-Master 11 zu erhalten.
Die Aktivierung der Aktualisierungssoftware kann durch die Ziel-ECU auf der Grundlage einer Aktivierungsanforderung vom OTA-Master 11 ausgeführt werden. Alternativ kann die Ziel-ECU, die die Aktualisierungsdaten oder die Aktualisierungssoftware empfangen hat, die Aktualisierungssoftware selbständig aktivieren, ohne eine explizite Anweisung vom OTA-Master 11 zu erhalten.
5 zeigt ein Beispiel für ein funktionales Blockdiagramm der in 1 gezeigten OTA-Zentrale 1. Wie in 5 gezeigt, weist die OTA-Zentrale 1 eine Speichereinheit 26, eine Kommunikationseinheit 27 und eine Steuereinheit 28 auf. Die Kommunikationseinheit 27 und die Steuereinheit 28 werden von der CPU 21 in 2 implementiert, die ein in der Speichervorrichtung 23 gespeichertes Programm unter Verwendung des RAM 22 ausführt. Die Speichereinheit 26 wird durch die in 2 gezeigte Speichervorrichtung 23 implementiert.
6 zeigt ein Beispiel eines funktionalen Blockdiagramms des in 1 gezeigten OTA-Masters 11. Wie in 6 gezeigt, weist der OTA-Master 11 eine Speichereinheit 37, eine Kommunikationseinheit 38 und eine Steuereinheit 39 auf. Die Kommunikationseinheit 38 und die Steuereinheit 39 sind durch die CPU 31 in 3 implementiert, die ein im ROM 33 gespeichertes Programm unter Verwendung des RAM 32 ausführt. Die Speichereinheit 37 wird durch die in 3 gezeigte Speichervorrichtung 34 implementiert.
7 ist ein Flussdiagramm, das ein Beispiel für einen Steuerprozess zeigt, der von dem OTA-Master 11 und den ECUs 13a bis 13d in der vorliegenden Ausführungsform durchgeführt wird. Nachfolgend wird der Steuerprozess gemäß der vorliegenden Ausführungsform unter Bezugnahme auf das in 7 gezeigte Flussdiagramm beschrieben.
Der in 7 gezeigte Prozess wird gestartet, wenn die Kommunikationseinheit 38 des OTA-Masters 11 (siehe 6) ein Softwareverteilungspaket (Aktualisierungsdaten) empfängt, das von der OTA-Zentrale 1 durch eine OTA-Kampagne gesendet wird, und die Speichereinheit 37 das empfangene Softwareverteilungspaket speichert (d.h. herunterlädt). Das Verteilungspaket wird z.B. im Zustand IG-AN (die Zündung ist eingeschaltet AN) empfangen und in der Speichereinheit 37 gespeichert.
Das von der OTA-Zentrale 1 gesendete Verteilungspaket enthält Informationen, die jede Ziel-ECU angeben, deren Software zu aktualisieren ist (und Software auf jeder zu aktualisierenden Ziel-ECU), sowie Aktualisierungsdaten zur Softwareaktualisierung auf jeder Ziel-ECU. In dem Verteilungspaket können die Aktualisierungsdaten individuell verschlüsselt worden sein. Zum Beispiel können in einem Verteilungspaket, das zwei Aktualisierungsdaten enthält (erste Aktualisierungsdaten zur Softwareaktualisierung auf einer ersten ECU und zweite Aktualisierungsdaten zur Softwareaktualisierung auf einer zweiten ECU), diese beiden Aktualisierungsdaten einzeln verschlüsselt worden sein. In dem Verteilungspaket können mehrere Aktualisierungsdaten zusammen verschlüsselt worden sein. Beispielsweise können in einem Verteilungspaket, das zwei Aktualisierungsdaten enthält (erste Aktualisierungsdaten für die Softwareaktualisierung auf einer ersten ECU und zweite Aktualisierungsdaten für die Softwareaktualisierung auf einer zweiten ECU), diese beiden Aktualisierungsdaten zusammen als ein einziges verschlüsseltes Datenelement verschlüsselt worden sein. In dem Verteilungspaket kann eine Vielzahl von Aktualisierungsdaten einzeln wie oben beschrieben verschlüsselt worden sein, und die einzeln verschlüsselten Aktualisierungsdaten können zusammen wie oben beschrieben verschlüsselt worden sein.
In Schritt S1 bestimmt die Steuereinheit 39 des OTA-Masters 11, ob die Aktualisierungsdaten in dem in der Speichereinheit 37 gespeicherten Verteilungspaket durch den OTA-Master 11 entschlüsselt werden müssen. Beispielsweise enthält das Verteilungspaket Informationen, die auf eine Vorrichtung hinweisen, die einen Entschlüsselungsprozess durchführen soll, und die Steuereinheit 39 des OTA-Masters 11 trifft diese Entscheidung auf der Grundlage dieser Informationen. Alternativ dazu enthalten beispielsweise die Aktualisierungsdaten selbst Informationen, die auf eine Vorrichtung hinweisen, die einen Entschlüsselungsprozess durchführen soll (Informationen, die vor der Entschlüsselung lesbar sind), und die Steuereinheit 39 des OTA-Masters 11 trifft diese Entscheidung auf der Grundlage dieser Informationen. Wenn JA in Schritt S1, fährt das Programm mit Schritt S2 fort. Wenn NEIN in Schritt S1, fährt das Programm mit Schritt S5 fort.
In Schritt S2 führt die Steuereinheit 39 des OTA-Masters 11 den Entschlüsselungsprozess an den Aktualisierungsdaten im Verteilungspaket durch, indem sie die im Voraus in der Speichereinheit 37 gespeicherten Schlüsselinformationen verwendet. Das Programm geht dann zu Schritt S3 über.
In Schritt S3 bestimmt die Steuereinheit 39 des OTA-Masters 11, ob der in Schritt S2 durchgeführte Entschlüsselungsprozess erfolgreich ist. Das heißt, die Steuereinheit 39 des OTA-Masters 11 bestimmt, ob die Aktualisierungsdaten erfolgreich entschlüsselt wurden. Wird dies in Schritt S3 bejaht, fährt das Programm mit Schritt S5 fort. Wenn NEIN in Schritt S3, fährt das Programm mit Schritt S4 fort.
In Schritt S4 teilt die Steuereinheit 39 des OTA-Masters 11 der OTA-Zentrale 1 mit, dass die aktualisierten Daten nicht vom OTA-Master 11 entschlüsselt werden können (Entschlüsselung fehlgeschlagen). Insbesondere sendet die Steuereinheit 39 unter Verwendung der Kommunikationseinheit 38 (und des Kommunikationsmoduls 12) eine Benachrichtigung mit Informationen, die die nicht entschlüsselbaren Aktualisierungsdaten angeben, und Informationen, die angeben, dass die Aktualisierungsdaten nicht vom OTA-Master 11 entschlüsselt werden können, an die OTA-Zentrale 1. In Schritt S4 teilt die Steuereinheit 39 des OTA-Masters 11 dem Benutzer ebenfalls mit, dass die Aktualisierungsdaten nicht entschlüsselt werden können usw. Beispielsweise veranlasst die Steuereinheit 39 das HMI 14 (z.B. ein Anzeigegerät eines Kfz-Navigationssystems, auf dem eine Eingabeoperation durchgeführt werden kann), eine Meldung wie „Entschlüsselung der Aktualisierungssoftware fehlgeschlagen. Bitte wenden Sie sich an einen Händler.“ Danach endet das in 7 gezeigte Verfahren.
In Schritt S5 bestimmt die Steuereinheit 39 des OTA-Masters 11, ob die Aktualisierungsdaten in dem in der Speichereinheit 37 gespeicherten Verteilungspaket von der Ziel-ECU entschlüsselt werden müssen. Beispielsweise enthält das Verteilungspaket Informationen, die auf eine Vorrichtung hinweisen, die einen Entschlüsselungsprozess durchführen soll, und die Steuereinheit 39 des OTA-Masters 11 trifft diese Entscheidung auf der Grundlage dieser Informationen. Alternativ dazu enthalten beispielsweise die Aktualisierungsdaten selbst Informationen, die auf eine Vorrichtung hinweisen, die einen Entschlüsselungsprozess durchführen soll (Informationen, die vor der Entschlüsselung lesbar sind), und die Steuereinheit 39 des OTA-Masters 11 trifft diese Entscheidung auf der Grundlage dieser Informationen. Wenn JA in Schritt S5, fährt das Programm mit Schritt S6 fort. Wenn NEIN in Schritt S5, fährt das Programm mit Schritt S10 fort.
In Schritt S10 sendet die Steuereinheit 39 des OTA-Masters 11 die Aktualisierungsdaten (Klartext-Aktualisierungsdaten) an die Ziel-ECU. Insbesondere sendet die Steuereinheit 39 die Aktualisierungsdaten (Klartext-Aktualisierungsdaten), für die in Schritt S5 festgestellt wurde, dass eine Entschlüsselung durch die Ziel-ECU nicht erforderlich ist, unter Verwendung der Kommunikationseinheit 38 an die Ziel-ECU. Die Ziel-ECU, die die Aktualisierungsdaten empfangen hat, installiert die Aktualisierungsdaten (die auf Grundlage der Aktualisierungsdaten erzeugte Aktualisierungssoftware) und aktiviert sie anschließend. Die Softwareaktualisierung ist damit abgeschlossen. Der in 7 gezeigte Prozess endet danach.
In Schritt S6 sendet die Steuereinheit 39 des OTA-Masters 11 die Aktualisierungsdaten (verschlüsselte Aktualisierungsdaten) an die Ziel-ECU. Insbesondere sendet die Steuereinheit 39 die Aktualisierungsdaten (verschlüsselte Aktualisierungsdaten), für die in Schritt S5 festgestellt wurde, dass eine Entschlüsselung durch die Ziel-ECU erforderlich ist, unter Verwendung der Kommunikationseinheit 38 an die Ziel-ECU. Das Programm fährt dann mit Schritt S7 fort.
In Schritt S7 führt die Steuereinheit (CPU 41) der Ziel-ECU einen Entschlüsselungsprozess für die in Schritt S6 vom OTA-Master 11 gesendeten Aktualisierungsdaten durch, indem sie Schlüsselinformationen verwendet, die im Voraus im nichtflüchtigen Speicher 43 (oder der Speichereinheit 37 des OTA-Masters 11) gespeichert wurden. Das Programm geht dann zu Schritt S8 über.
In Schritt S8 bestimmt die Steuereinheit (CPU 41) der Ziel-ECU, ob der in Schritt S7 durchgeführte Entschlüsselungsprozess erfolgreich ist. Das heißt, die Steuereinheit (CPU 41) der Ziel-ECU bestimmt, ob die Aktualisierungsdaten erfolgreich entschlüsselt wurden. Wenn JA in Schritt S8, fährt das Programm mit Schritt S9 fort. Wenn NEIN in Schritt S8, fährt das Programm mit Schritt S11 fort.
In Schritt S9 installiert die Steuereinheit (CPU 41) der Ziel-ECU die in Schritt S7 entschlüsselten Aktualisierungsdaten (die auf der Grundlage der Aktualisierungsdaten erzeugte Aktualisierungssoftware) in den nichtflüchtigen Speicher 43 und aktiviert sie dann. Die Softwareaktualisierung ist damit abgeschlossen. Der in 7 gezeigte Prozess ist damit beendet.
In Schritt S11 stellt die Steuereinheit (CPU 41) der Ziel-ECU fest, ob der Grund, warum die Entschlüsselung der Aktualisierungsdaten in Schritt S7 fehlgeschlagen ist, identifiziert wurde. Zum Beispiel kann die Steuereinheit (CPU 41) der Ziel-ECU in der Lage sein, die Verschlüsselungsmethode (Verschlüsselungsalgorithmus) zu erkennen, die für die zu entschlüsselnden Aktualisierungsdaten verwendet wird, selbst wenn der Entschlüsselungsprozess in Schritt S7 fehlgeschlagen ist. Insbesondere im Fall des Advanced Encryption Standard (AES), der eine Common-Key-Verschlüsselungsmethode ist, versagt die Steuereinheit (CPU 41) der Ziel-ECU bei der Entschlüsselung der Aktualisierungsdaten, wenn der Entschlüsselungsprozess für die Aktualisierungsdaten, die mit einem Common-Key mit einer Länge (Anzahl der Bits der Schlüsselinformationen) von 128 Bits verschlüsselt wurden, unter Verwendung eines Common-Key mit einer Länge von 256 Bits durchgeführt wird. Die Steuereinheit (CPU 41) der Ziel-ECU kann jedoch beispielsweise erkennen, dass die für die Aktualisierungsdaten verwendete Verschlüsselungsmethode AES ist, wenn Informationen, die die Verschlüsselungsmethode identifizieren können, in den Aktualisierungsdaten so enthalten sind, dass diese Informationen vor der Entschlüsselung lesbar sind. In diesem Fall betrachtet die Steuereinheit (CPU 41) der Ziel-ECU die für die Entschlüsselung verwendeten Schlüsselinformationen, die sich von den richtigen Schlüsselinformationen unterscheiden, als Grund (Ursache) für den Entschlüsselungsfehler. In diesem Fall bestimmt die Steuereinheit (CPU 41) der Ziel-ECU, dass der Grund, warum die Entschlüsselung der Aktualisierungsdaten in Schritt S7 fehlgeschlagen ist, identifiziert wurde (JA in Schritt S11). Wenn JA in Schritt S11, fährt das Programm mit Schritt S12 fort. Wenn NEIN in Schritt S11, fährt das Programm mit Schritt S14 fort.
In Schritt S12 benachrichtigt die Steuereinheit (CPU 41) der Ziel-ECU den OTA-Master 11, dass die Aktualisierungsdaten von der Ziel-ECU nicht entschlüsselt werden können (die Ziel-ECU ist bei der Entschlüsselung der Aktualisierungsdaten gescheitert) und benachrichtigt den OTA-Master 11 auch über den Grund, warum die Aktualisierungsdaten nicht entschlüsselt werden können. Insbesondere sendet die Steuereinheit (CPU 41) der Ziel-ECU eine Benachrichtigung, die Informationen enthält, die die Aktualisierungsdaten, die nicht entschlüsselt werden können, Informationen, die anzeigen, dass die Aktualisierungsdaten nicht von dieser Ziel-ECU (selbst) entschlüsselt werden können, und Informationen, die den Grund (Ursache) anzeigen, warum die Aktualisierungsdaten nicht entschlüsselt werden können, an den OTA-Master 11 unter Verwendung der Kommunikationsvorrichtung 45. Das Programm fährt dann mit Schritt S13 fort.
In Schritt S14 teilt die Steuereinheit (CPU 41) der Ziel-ECU dem OTA-Master 11 mit, dass die Aktualisierungsdaten von der Ziel-ECU nicht entschlüsselt werden können (die Ziel-ECU ist bei der Entschlüsselung der Aktualisierungsdaten gescheitert). Insbesondere verwendet die Steuereinheit (CPU 41) der Ziel-ECU die Kommunikationsvorrichtung 45, um dem OTA-Master 11 eine Benachrichtigung zu senden, die Informationen enthält, die die Aktualisierungsdaten, die nicht entschlüsselt werden können, und Informationen enthält, die anzeigen, dass die Ziel-ECU (selbst) die Aktualisierungsdaten nicht entschlüsseln kann. Das Programm fährt dann mit Schritt S13 fort.
In Schritt S13 verwendet die Steuereinheit 39 des OTA-Masters 11 die Kommunikationseinheit 38 (und das Kommunikationsmodul 12), um die OTA-Zentrale 1 über die in Schritt S12 oder S14 von der Ziel-ECU empfangenen Informationen zu informieren (zu senden). In Schritt S13 teilt die Steuereinheit 39 des OTA-Masters 11 dem Benutzer mit, dass die Aktualisierungsdaten nicht entschlüsselt werden können. Zum Beispiel veranlasst die Steuereinheit 39 die HMI 14, eine Meldung wie „Entschlüsselung der Aktualisierungssoftware fehlgeschlagen. Bitte wenden Sie sich an einen Händler.“ Danach endet der in 7 gezeigte Vorgang.
Wie vorstehend beschrieben, wird in der vorliegenden Ausführungsform, wenn die Entschlüsselung von verschlüsselten Aktualisierungsdaten fehlschlägt, die OTA-Zentrale 1 benachrichtigt, dass die Entschlüsselung der Aktualisierungsdaten fehlschlägt. Die OTA-Zentrale 1 kann daher erkennen, dass die Softwareaktualisierung auf der Ziel-ECU des Fahrzeugs fehlgeschlagen ist. Dementsprechend kann die OTA-Zentrale 1 geeignete Maßnahmen ergreifen (wie z. B. das erneute Senden der mit einer anderen Chiffre verschlüsselten Aktualisierungsdaten an den OTA-Master 11). Beispielsweise kann die OTA-Zentrale 1 prüfen, ob die Version der Ziel-ECU, die Version der Software auf der Ziel-ECU, die gesendeten Aktualisierungsdaten usw. geeignet sind, und kann entsprechende Maßnahmen ergreifen. Wenn die OTA-Zentrale 1 zum Beispiel feststellt, dass die gesendeten Aktualisierungsdaten nicht geeignet sind, kann die OTA-Zentrale 1 erneut geeignete Aktualisierungsdaten an den OTA-Master 11 senden.
Wie vorstehend beschrieben, wird in der vorliegenden Ausführungsform, wenn die Entschlüsselung von verschlüsselten Aktualisierungsdaten fehlschlägt, die OTA-Zentrale 1 über Informationen benachrichtigt, die auf die Vorrichtung hinweisen, bei der die Entschlüsselung der Aktualisierungsdaten fehlgeschlagen ist (OTA-Master, ECU). Die OTA-Zentrale 1 kann so erkennen, welche Vorrichtung bei der Durchführung der Softwareaktualisierung versagt hat. Dies erleichtert es der OTA-Zentrale 1, Maßnahmen zu ergreifen. Zum Beispiel kann die OTA-Zentrale 1 einen weiteren Teil an Aktualisierungsdaten nur an die Vorrichtung senden, die bei der Durchführung der Softwareaktualisierung versagt hat.
Wie vorstehend beschrieben, kann in der vorliegenden Ausführungsform, wenn die Entschlüsselung von verschlüsselten Aktualisierungsdaten fehlschlägt, die OTA-Zentrale 1 über den Grund (die Ursache) für den Entschlüsselungsfehler informiert werden. Die OTA-Zentrale 1 kann so den Grund (die Ursache) für den Entschlüsselungsfehler erkennen. Dies erleichtert es der OTA-Zentrale 1, Maßnahmen zu ergreifen. Beispielsweise kann die OTA-Zentrale 1 die Aktualisierungsdaten mit einer anderen Chiffre verschlüsselt an den OTA-Master 11 zurücksenden.
Wie vorstehend beschrieben, wird in der vorliegenden Ausführungsform, wenn die Entschlüsselung der verschlüsselten Aktualisierungsdaten fehlschlägt, eine vorbestimmte Benachrichtigung (Benachrichtigung, dass die Entschlüsselung der Aktualisierungsdaten fehlgeschlagen ist, dass der Benutzer einen Händler kontaktieren muss, usw.) an den Benutzer gesendet. Dies kann die Lösung des Problems erleichtern, dass die Softwareaktualisierung aufgrund des Entschlüsselungsfehlers nicht durchgeführt werden kann.
Modifikationen
In der obigen Ausführungsform kann bei der Benachrichtigung der OTA-Zentrale 1, dass der OTA-Master 11 im Entschlüsselungsprozess fehlgeschlagen ist (siehe S4 in 7), und wenn der Grund für den Entschlüsselungsfehler identifiziert werden kann, die OTA-Zentrale 1 über den identifizierten Grund benachrichtigt werden, wie in dem Fall, in dem die Ziel-ECU im Entschlüsselungsprozess fehlgeschlagen ist (siehe S11 bis S14 in 7).
Die in der vorstehenden Ausführungsform gezeigten Funktionen der OTA-Zentrale 1 können als ein Verwaltungsverfahren implementiert werden, das von einem Computer mit einem Prozessor (CPU), einem Speicher und einer Kommunikationsvorrichtung durchgeführt wird, ein Verwaltungsprogramm, das von dem Computer ausgeführt wird, oder ein computerlesbares nicht-transitorisches Speichermedium, das das Verwaltungsprogramm speichert. In ähnlicher Weise können die in der vorstehenden Ausführungsform gezeigten Funktionen der OTA-Zentrale 11 als ein Steuerverfahren implementiert werden, das von einem fahrzeuginternen Computer mit einem Prozessor (CPU), einem Speicher und einer Kommunikationsvorrichtung, einem Steuerprogramm, das von dem fahrzeuginternen Computer ausgeführt wird, oder einem computerlesbaren nicht-transitorischen Speichermedium, auf dem das Steuerprogramm gespeichert ist, durchgeführt wird. Die OTA-Zentrale kann einen oder mehrere Prozessoren enthalten. Der OTA-Master kann einen oder mehrere Prozessoren enthalten.
Die offenbarte Technik kann in Netzwerksystemen zur Aktualisierung eines Programms in einer elektronischen Steuereinheit (ECU) verwendet werden.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

JP 2004326689 A [0003]

Claims

OTA-Master, der dazu eingerichtet ist, eine Softwareaktualisierung auf einer in einem Fahrzeug eingebauten ECU zu steuern, wobei der OTA-Master einen oder mehrere Prozessoren (31) aufweist, die dazu eingerichtet sind : Softwareaktualisierungsdaten von einer OTA-Zentrale auf die ECU herunterzuladen; die Softwareaktualisierung auf der ECU unter Verwendung der Aktualisierungsdaten zu steuern; und, wenn die Aktualisierungsdaten verschlüsselt worden sind und ein Entschlüsselungsprozess notwendig ist, aber der Entschlüsselungsprozess fehlschlägt, eine Benachrichtigung, die anzeigt, dass der Entschlüsselungsprozess fehlschlägt, an die OTA-Zentrale zu senden.
OTA-Master nach Anspruch 1, wobei der eine oder die mehreren Prozessoren (31) dazu eingerichtet sind: den Entschlüsselungsprozess durchzuführen, wenn die Aktualisierungsdaten verschlüsselt worden sind und die Aktualisierungsdaten den Entschlüsselungsprozess durch den OTA-Master durchführen müssen; und, wenn der Entschlüsselungsprozess fehlschlägt, eine Benachrichtigung an die OTA-Zentrale zu senden, die anzeigt, dass der Entschlüsselungsprozess durch den OTA-Master fehlschlägt.
OTA-Master nach Anspruch 1 oder 2, wobei der eine oder die mehreren Prozessoren (31) dazu eingerichtet sind: die Aktualisierungsdaten an die ECU zu senden, um die ECU zu veranlassen, den Entschlüsselungsprozess durchzuführen, wenn die Aktualisierungsdaten verschlüsselt worden sind und die Aktualisierungsdaten den Entschlüsselungsprozess durch die ECU durchführen müssen; und wenn der eine oder die mehreren Prozessoren (31) von der ECU Informationen empfangen, die anzeigen, dass der Entschlüsselungsprozess fehlgeschlagen ist, eine Benachrichtigung, die anzeigt, dass der Entschlüsselungsprozess durch die ECU fehlgeschlagen ist, an die OTA-Zentrale zu senden.
OTA-Master nach einem der Ansprüche 1 bis 3, wobei der eine oder die mehreren Prozessoren (31) dazu eingerichtet sind, wenn der Entschlüsselungsprozess fehlschlägt, eine Benachrichtigung mit Informationen, die einen Grund für das Fehlschlagen des Entschlüsselungsprozesses angeben, an die OTA-Zentrale zu senden.
OTA-Master nach einem der Ansprüche 1 bis 4, wobei der eine oder die mehreren Prozessoren (31) dazu eingerichtet sind, eine vorbestimmte Benachrichtigung an einen Benutzer zu senden, wenn der Entschlüsselungsprozess fehlschlägt.
Verfahren, das von einem Computer eines OTA-Masters durchgeführt wird, der dazu eingerichtet ist, eine Softwareaktualisierung auf einer in einem Fahrzeug eingebauten ECU zu steuern, wobei der Computer einen oder mehrere Prozessoren (31) und einen Speicher enthält, wobei das Verfahren aufweist: Herunterladen von Softwareaktualisierungsdaten von einer OTA-Zentrale auf die ECU; Steuern der Softwareaktualisierung auf der ECU unter Verwendung der Aktualisierungsdaten; und, wenn die Aktualisierungsdaten verschlüsselt worden sind und ein Entschlüsselungsprozess notwendig ist, aber der Entschlüsselungsprozess fehlschlägt, Senden einer Benachrichtigung, die anzeigt, dass der Entschlüsselungsprozess fehlschlägt, an die OTA-Zentrale.
Nicht-transitorisches Speichermedium, das Befehle speichert, die von einem Computer eines OTA-Masters ausgeführt werden können, der dazu eingerichtet ist, eine Softwareaktualisierung auf einer in einem Fahrzeug eingebauten ECU zu steuern, und die den Computer veranlassen, Funktionen auszuführen, wobei der OTA-Master einen oder mehrere Prozessoren und einen Speicher aufweist, wobei die Funktionen Folgendes enthalten: Herunterladen von Softwareaktualisierungsdaten von einer OTA-Zentrale auf die ECU; Steuern der Softwareaktualisierung auf der ECU unter Verwendung der Aktualisierungsdaten; und, wenn die Aktualisierungsdaten verschlüsselt worden sind und ein Entschlüsselungsprozess notwendig ist, aber der Entschlüsselungsprozess fehlschlägt, Senden einer Benachrichtigung, die anzeigt, dass der Entschlüsselungsprozess fehlschlägt, an die OTA-Zentrale.