EP4713770A1

EP4713770A1 - Aktualisierungssystem, verfahren zum ausrollen von drahtlosaktualisierungen, computerprogrammprodukt und computerlesbares speichermedium

Info

Publication number: EP4713770A1
Application number: EP25719646.9A
Authority: EP
Inventors: Marcus Hohloch
Original assignee: Mercedes Benz Group AG
Current assignee: Mercedes Benz Group AG
Priority date: 2024-05-25
Filing date: 2025-04-07
Publication date: 2026-03-25
Also published as: DE102024001701A1; WO2025247540A1

Abstract

Die Erfindung betrifft ein Aktualisierungssystem (1) zum Ausrollen von Drahtlosaktualisierungen für Fahrzeuge (2). Das erfindungsgemäße Aktualisierungssystem ist dadurch gekennzeichnet, dass eine zentrale Recheneinrichtung (4) dazu eingerichtet ist: - eine Verteilungsmenge (6) und eine Installationsmenge (7) festzulegen oder zu empfangen, die Verteilungsmenge (6) definierend eine Auswahl an Fahrzeugen (2) einer Fahrzeugflotte (3) an die die Drahtlosaktualisierung ausgerollt werden soll und die Installationsmenge (7) definierend eine Untermenge der der Verteilungsmenge (6) zugeordneten Fahrzeuge (2), die die Drahtlosaktualisierung gleichzeitig implementieren sollen; - die Drahtlosaktualisierung an die der Installationsmenge (7) zugeordneten Fahrzeuge (2) zu verteilen und dort zu implementieren; und - unter Berücksichtigung einer den Implementierungserfolg der Drahtlosaktualisierung in den respektiven Fahrzeugen beschreibenden Statusinformation die Installationsmenge (7) konstant zu halten, sodass sobald die Implementierung der Drahtlosaktualisierung in einem Fahrzeug (2) beendet wurde, die Verteilung und Implementierung in einem nächsten Fahrzeug (2) der Verteilungsmenge (6) gestartet wird.

Description

Mercedes-Benz Group AG

Aktualisierungssystem, Verfahren zum Ausrollen von Drahtlosaktualisierungen, Computerprogrammprodukt und computerlesbares Speichermedium

Die Erfindung betrifft ein Aktualisierungssystem zum Ausrollen von Drahtlosaktualisierungen für Fahrzeuge nach der im Oberbegriff von Anspruch 1 näher definierten Art, ein Verfahren zum Ausrollen von Drahtlosaktualisierungen mit einem solchen Aktualisierungssystem sowie ein Computerprogrammprodukt und ein computerlesbares Speichermedium.

Fahrzeuge wie beispielsweise Pkws werden mehr und mehr zu fahrenden Computersystemen. So erfordert das Bereitstellen von Fahrerassistenzfunktionen zur Erhöhung des Komforts und der Fahrsicherheit eine Verarbeitung unterschiedlichster Sensorsignale und das Ansteuern diverser vom Fahrzeug umfasster Aktoren. So können Fahrzeuge eine umfangreiche Umgebungssensorik umfassen, wie beispielsweise eine oder mehrere Kameras, Ultraschallsensoren, Radarsensoren, Mikrofone und/oder LiDARE. Mit Hilfe solcher Sensorsysteme können Fahrzeuge dazu in der Lage sein, ihr Umfeld zu erkennen, was eine zumindest teilautomatisierte oder sogar autonome Steuerung erlaubt. Zudem sind heutzutage moderne Fahrzeuge typischerweise an eine zentrale Recheneinrichtung, auch als Backend bezeichnet, angebunden, beispielsweise unter Nutzung eines drahtlosen Kommunikationskanals. Hierzu können die Fahrzeuge eine Telekommunikationseinheit umfassen, die eine Anbindung an das Internet per Mobilfunk erlaubt.

Zur Bereitstellung der verschiedensten Funktionen ist neben der Implementierung entsprechender Hardware im Fahrzeug auch das Implementieren von auf der Hardware laufender Software erforderlich. Über die Lebensdauer eines Fahrzeugs hinweg kann es erforderlich sein die Software im Fahrzeug zu aktualisieren. Hierdurch lassen sich Sicherheitslücken schließen, Fehler, auch als Bugs bezeichnet, beheben sowie neue Funktionalitäten nachträglich in das Fahrzeug einbringen. Eine solche Aktualisierung kann beispielsweise das Anpassen einer Firmware eines Steuergeräts, das Abändern des Programmcodes eines Anwendungsprogramms oder auch das Einbringen neuer Konstanten oder Kennlinien auf einer Recheneinheit im Fahrzeug umfassen.

Datenpakete lassen sich auf vielfältige Art und Weise auf die jeweiligen Recheneinheiten im Fahrzeug einbringen. Klassischerweise können Daten lokal vor Ort im Fahrzeug eingebracht werden, beispielsweise kabelgebunden oder über ein physisches Speichermedium wie eine SD-Karte oder einen USB-Stick. Dies geht jedoch mit einem erhöhten Nutzeraufwand einher, da entsprechende Datenpakte zuerst auf einem separaten Computersystem wie einem Desktopcomputer heruntergeladen werden müssen, auf das Speichermedium übertragen werden müssen und dann in das Fahrzeug per Hand eingebracht werden müssen. Aus diesem Grund hat sich das Einbringen von Aktualisierungen in Fahrzeuge per Drahtlosupdate etabliert, auch als Over-The-Air Update (OTA) bezeichnet. Dabei können Fahrzeuge entsprechende Aktualisierungspakete von einem Server über das Internet empfangen und nach einer gegebenenfalls optionalen Bestätigung durch den Nutzer im Fahrzeug installieren.

Für den Fahrzeughersteller ist es wünschenswert, solche Aktualisierungskampagnen möglichst schnell durchzuführen, sodass die von der Aktualisierungskampagne betroffenen Computersysteme schnell wieder zur Verfügung stehen. Aufgrund verschiedenster Ursachen kann es dabei vorkommen, dass es während der Installation eines Aktualisierungspakets zu Fehlern kommt. Aktualisierungskampagnen werden daher typischerweise gruppenbasiert bzw. in Form von Wellen ausgeführt. Dies bedeutet, dass die zu aktualisierenden Computersysteme in verschiedene Gruppen unterteilt werden, die nach und nach mit der entsprechenden Aktualisierung versorgt werden. Dies ermöglicht es dem Fahrzeughersteller den Installationserfolg der respektiven Aktualisierung nachzuverfolgen und nach Bedarf, beispielsweise weil zu viele Installationsversuche scheitern, die Aktualisierungskampagne anzupassen oder zu stoppen. Hierdurch kann zwar die Zuverlässigkeit der Einsatzbereitschaft der Fahrzeuge verbessert werden, jedoch verlangsamt sich die Ausrollgeschwindigkeit der entsprechenden Aktualisierungspakete.

Es ist daher wünschenswert, Verfahren und Mittel bereitzustellen, mit denen das Durchführen von Aktualisierungskampagnen beschleunigt werden kann, wobei dabei das Ausfallrisiko der zu aktualisierenden Computersysteme bzw. der die entsprechenden Computersysteme umfassenden Fahrzeuge auf ein Minimum reduziert werden kann. Mittel zur Ausführung entsprechender drahtloser Aktualisierungskampagnen im Fahrzeugkontext sind aus der DE 102022 101 072 A1 bekannt. Die Druckschrift beschreibt ein zentrales Center zur Vermittlung zwischen einem OTA-Master und einem Störungsserver, wobei es sich bei dem OTA-Master um eine in einem Fahrzeug einer Fahrzeugflotte eingebrachte Vorrichtung zur Verwaltung der Implementierung von Aktualisierungen im Fahrzeug handelt. Fahrzeuge können Störungsinformationen an den Störungsserver übermitteln, welche vom Center abgefragt wird. Der OTA-Master kann an das Center eine Anfrage zum Einbringen einer Aktualisierung übermitteln. Das Center überprüft dann, ob eine Störung für das entsprechende Fahrzeug vorliegt oder nicht. Liegt keine Störung vor, so kann das Installieren der Aktualisierung im Fahrzeug freigegeben werden. Liegt hingegen eine Störung vor, so wird das Installieren der Aktualisierung im Fahrzeug eingeschränkt.

Ferner offenbart die DE 102017 217668 A1 ein Verfahren und eine zentrale Datenverarbeitungsvorrichtung zum Aktualisieren von Software in einer Vielzahl von Fahrzeugen. Das Verfahren erlaubt es, Software sukzessive an die Fahrzeuge einer Fahrzeugflotte auszurollen, um für eine gleichmäßige Lastverteilung der zentralen Datenverarbeitungsvorrichtung zu sorgen.

Ferner offenbart die DE 102014219 322 A1 das Update einer Fahrzeugsteuerung per Car2X. Dabei wird eine Aktualisierungsbotschaft über ein Fahrzeug-Ad-Hoc-Netzwerk versendet. Um zu sicherzustellen, dass immer eine ausreichende Anzahl an Fahrzeugen zur Verfügung steht, erhalten nicht alle Fahrzeuge einer größeren Anzahl an Fahrzeugen die Aktualisierung gleichzeitig.

Ferner offenbart die DE 11 2019 004 030 T5 eine Zentralvorrichtung. Die Zentralvorrichtung dient zum Verteileiner einer Drahtlosaktualisierung an die Fahrzeuge einer Fahrzeugflotte. Dabei kann eine Fehlerrate ermittelt werden, beschreibend das Verhältnis der Anzahl von Fahrzeugen, welche einen Fehler bei der Aktualisierung gemeldet haben, zur Anzahl der Zielfahrzeuge.

Zudem offenbart die DE 102022 004 038 A1 ein Verfahren zum optimalen Ausrollen von Softwareaktualisierungen. Der vorliegenden Erfindung liegt die Aufgabe zugrunde ein verbessertes Aktualisierungssystem zum Ausrollen von Drahtlosaktualisierungen für Fahrzeuge anzugeben, mit dessen Hilfe die Ausführungsdauer einer Aktualisierungskampagne reduziert werden kann, unter einer gleichzeitigen Reduktion des Ausfallrisikos der für die Aktualisierungskampagne vorgesehenen Hardware- bzw. Softwarekomponenten.

Erfindungsgemäß wird diese Aufgabe durch ein Aktualisierungssystem mit den Merkmalen des Anspruchs 1 gelöst. Vorteilhafte Ausgestaltungen und Weiterbildungen sowie ein Verfahren zum Ausrollen von Drahtlosaktualisierungen mit einem solchen Aktualisierungssystem sowie ein Computerprogrammprodukt und ein computerlesbares Speichermedium ergeben sich aus den hiervon abhängigen Ansprüchen.

Ein gattungsgemäßes Aktualisierungssystem zum Ausrollen von Drahtlosaktualisierungen für Fahrzeuge, umfassend eine Fahrzeugflotte mit einer Vielzahl an Fahrzeugen und eine zentrale Recheneinrichtung, wobei die zentrale Recheneinrichtung zur Verteilung einer Drahtlosaktualisierung an die Fahrzeuge unter Nutzung eines drahtlosen Kommunikationskanals eingerichtet ist und die Fahrzeuge dazu eingerichtet sind die Drahtlosaktualisierung von der zentralen Recheneinrichtung zu empfangen und jeweils eine respektive Drahtlosaktualisierung in einer fahrzeuginternen Recheneinheit zu implementieren, wird erfindungsgemäß dadurch weitergebildet, dass die zentrale Recheneinrichtung ferner dazu eingerichtet ist:

- eine Verteilungsmenge und eine Installationsmenge festzulegen oder zu empfangen, die Verteilungsmenge definierend eine Auswahl an Fahrzeugen der Fahrzeugflotte, an die die Drahtlosaktualisierung ausgerollt werden soll, und die Installationsmenge definierend eine Untermenge der der Verteilungsmenge zugeordneten Fahrzeuge, die die Drahtlosaktualisierung gleichzeitig implementieren sollen;

- die Drahtlosaktualisierung an die der Installationsmenge zugeordneten Fahrzeuge zu verteilen und dort zu implementieren, wobei die jeweiligen Fahrzeuge dazu eingerichtet sind eine Statusinformation an die zentrale Recheneinrichtung zu übermitteln, umfassend zumindest eine Information, ob die respektive Drahtlosaktualisierung erfolgreich auf der jeweiligen fahrzeuginternen Recheneinheit implementiert wurde oder die Aktualisierung fehlgeschlagen ist; und

- unter Berücksichtigung respektiver Statusinformationen die Installationsmenge konstant zu halten, sodass, sobald die Implementierung der Drahtlosaktualisierung in einem Fahrzeug beendet wurde, die Verteilung und Implementierung in einem nächsten Fahrzeug der Verteilungsmenge gestartet wird.

Das erfindungsgemäße Aktualisierungssystem ist also dazu in der Lage Aktualisierungskampagnen für die Fahrzeuge einer Fahrzeugflotte nicht mehr in Gruppen bzw. Wellen auszurollen, sondern vom Starten der Aktualisierungskampagne bis zum Beenden der Aktualisierungskampagne eine konstante Anzahl an Fahrzeugen gleichzeitig mit entsprechenden Aktualisierungen zu versehen. Da hierbei nicht mehr darauf gewartet werden muss, bis eine entsprechende Gruppe bzw. Welle von Fahrzeugen mit entsprechenden Aktualisierungen versehen wurde, bis die nächste Gruppe bzw. Welle an Fahrzeugen aktualisiert wird, lässt sich die zum Durchführen der Aktualisierungskampagne erforderliche Zeitdauer verkürzen. Da nicht alle Fahrzeuge bzw. Recheneinheiten der Fahrzeugflotte gleichzeitig aktualisiert werden, sondern nur eine der Installationsmenge entsprechende Anzahl der zu aktualisierenden Fahrzeuge, lässt sich das Ausfallrisiko auf ein Minimum reduzieren. Die Installationsmenge kann dabei in Abhängigkeit verschiedenster Randbedingungen unterschiedlich hoch gewählt werden.

Die Drahtlosaktualisierungen können auch als Over-The-Air Update bezeichnet werden. Es kann sich um alle Arten von Aktualisierungen handeln, wie beispielsweise das Ändern einer bereits im Fahrzeug vorhandenen Software oder auch das Einbringen gänzlich neuer Software. Im einfachsten Fall umfasst eine Drahtlosaktualisierung das Hinzufügen oder Ändern von Daten in einer im Fahrzeug vorgesehenen Recheneinheit. Die Fahrzeugflotte kann verschiedene Typen von Fahrzeugen umfassen, wie beispielsweise Pkws, Lkws, Transporter, Busse und dergleichen. Die zentrale Recheneinrichtung kann dabei auch als Backend oder Cloudserver bezeichnet werden. Die Fahrzeuge können mit der zentralen Recheneinrichtung beispielsweise über das Internet kommunizieren. Die Fahrzeuge selbst können dabei per Mobilfunk an das Internet angeschlossen sein oder auch bei einem in Reichweite stehenden Hotspot per Wi-Fi.

Die Verteilungsmenge bezeichnet dabei diejenige Menge an Fahrzeugen der Fahrzeugflotte, die von der respektiven Aktualisierungskampagne betroffen sind. Die Verteilungsmenge wird also dadurch bestimmt bzw. festgelegt, welche Recheneinheiten bzw. welche Softwarekomponenten mit der jeweiligen Aktualisierungskampagne aktualisiert werden sollen. Die Installationsmenge entspricht dabei einer Untermenge der Verteilungsmenge und kann beispielsweise durch den Fahrzeughersteller manuell vorgegeben sein.

Beispielsweise kann eine feste Anzahl für die Installationsmenge angegeben werden, wie 1000 zu aktualisierende Systeme oder auch ein prozentueller Anteil der Verteilungsmenge, wie 2%, 5%, 10% oder auch Bruchteile oder Vielfache hiervon.

Anhand der Statusinformation wird die zentrale Recheneinrichtung dazu in die Lage versetzt zu erfassen, ob in einem jeweiligen Fahrzeug eine respektive Drahtlosaktualisierung erfolgreich implementiert werden konnte oder nicht. Anhand der Statusinformation lässt sich also das Ende eines entsprechenden Implementierungsvorgangs im Fahrzeug feststellen. Dies erlaubt es der zentralen Recheneinrichtung zu entscheiden, wann die Drahtlosaktualisierung an das nächste Fahrzeug der Verteilungsmenge verschickt bzw. dort implementiert werden soll, um die Installationsmenge, also die Anzahl der Fahrzeuge die gerade ein besagtes Update ausführen, während der Aktualisierungskampagne konstant zu halten. Optional ist es dabei auch denkbar, dass jeweilige Fahrzeuge entsprechende Statusinformationen auch während der Implementierung einer Drahtlosaktualisierung übermitteln, um beispielsweise über den Installationsfortschritt zu informieren. In diesem Falle kann die Statusinformation beispielsweise einen Installationsfortschritt in Prozent umfassen.

Eine vorteilhafte Weiterbildung des erfindungsgemäßen Aktualisierungssystems sieht dabei vor, dass die zentrale Recheneinrichtung ferner dazu eingerichtet ist:

- eine Fehlerquote zu ermitteln, beschreibend ein Verhältnis aus den Fahrzeugen der Verteilungsmenge bei denen die Implementierung der Drahtlosaktualisierung fehlgeschlagen ist, zu einer Gesamtmenge der Fahrzeuge der Verteilungsmenge auf denen bereits eine Implementierung der Drahtlosaktualisierung stattgefunden hat; und

- die Fehlerquote mit einem festgelegten Fehlerquotenschwellenwert zu vergleichen, wobei das Ausrollen der Drahtlosaktualisierung gestoppt wird, sobald die Fehlerquote den Fehlerquotenschwellenwert erreicht.

Durch das Ermitteln der Fehlerquote und den Vergleich der Fehlerquote mit dem Fehlerquotenschwellenwert wird der zentralen Recheneinrichtung ein Instrument bereitgestellt, um problematische Aktualisierungskampagnen frühzeitig zu stoppen. Wie bereits erwähnt, kann es aus verschiedenen Gründen möglich sein, dass entsprechende Aktualisierungen nicht erfolgreich in jeweiligen Fahrzeugen implementiert werden können. Beispielsweise kann eine entsprechende Drahtlosaktualisierung Bugs aufweisen, die äußeren Umstände zum Freigeben der Implementierung einer Aktualisierung im Fahrzeug nicht erfüllt sein, eine am Updateprozess beteiligte Recheneinheit im Fahrzeug ausgelastet sein, sodass eine Installationsgeschwindigkeit unzureichend gering ausfällt, und dergleichen mehr. Weitere Hinderungsgründe zum Einbringen entsprechender Drahtlosaktualisierungen können beispielsweise das Vorliegen einer eingeschränkten Internetkonnektivität sein, das seltene Nutzen von am Aktualisierungsprozess beteiligter Rechenkomponenten im Fahrzeug und/oder das Erfordernis einer manuellen Nutzerinteraktion zum Starten eines Downloads für ein entsprechendes Aktualisierungspaket und/oder zum Starten der Installation eines heruntergeladenen Aktualisierungspakets im Fahrzeug.

Dabei kann die zentrale Recheneinrichtung zuerst eine Mindestanazahl an Fahrzeugen aktualisieren, bevor die Fehlerquote überprüft wird, um einen Abbruch der Aktualisierungskampagne zu verhindern, wenn das Einbringen der Drahtlosaktualisierung bereits bei den ersten mit dem jeweiligen Drahtlosupdate versorgten Fahrzeugen scheitern sollte.

Um das Ausfallrisiko der im Fahrzeug verbauten Hardware- und/oder Softwarekomponenten, bzw. der Fahrzeuge selbst, auf ein Minimum zu reduzieren, sehen bisherige Aktualisierungskampagnen das Ausrollen der Drahtlosaktualisierung in Form von Gruppen bzw. Wellen vor. Erfindungsgemäß hingegen wird die Installationsmenge der Fahrzeuge der Verteilungsmenge, auf denen die Implementierung der Drahtlosaktualisierung erfolgt, konstant gehalten. Kann auf zu vielen Fahrzeugen dabei keine erfolgreiche Installation der Drahtlosaktualisierung erfolgen, so wird erfindungsgemäß das Ausrollen der Drahtlosaktualisierung unterbunden. Somit lässt sich verhindern, dass die noch nicht mit der Drahtlosaktualisierung versehenen Fahrzeuge der Verteilungsmenge die entsprechende Drahtlosaktualisierung erhalten bzw. der Implementierungsvorgang in den jeweiligen Fahrzeugen nicht gestartet wird. Der zuverlässige Betrieb dieser Fahrzeuge kann somit gewährleistet werden. Der dabei berücksichtigte Fehlerquotenschwellenwert kann in Abhängigkeit der jeweiligen Aktualisierungskampagne variabel festgelegt werden. Der Fehlerquotenschwellenwert kann beispielsweise einen Wert wie 5%, 10%, 15% oder auch Bruchteile oder Vielfache hiervon betragen. Für das Implementieren der Drahtlosaktualisierung in einem jeweiligen Fahrzeug kann ferner ein Zeitschwellenwert festgelegt werden. Ist eine Aktualisierung der respektiven Komponente im Fahrzeug innerhalb der durch den Zeitschwellenwert angegebenen Zeitdauer nicht möglich, so kann dies als Auslöser zum Erkennen einer fehlgeschlagenen Implementierung aufgefasst werden. Hängt sich eine betroffene fahrzeuginterne Recheneinheit auf, kann es gegebenenfalls nicht möglich sein das Fehlschlagen der Aktualisierung festzustellen. Dies kann letztendlich dazu führen, dass im schlimmsten Falle sämtliche Fahrzeuge der Installationsmenge in einem entsprechenden Updateprozess festhängen. Hierdurch könnte die zentrale Recheneinrichtung keine weiteren Drahtlosaktualisierungen an die verbleibenden Fahrzeuge der Verteilungsmenge mehr verteilen. Entsprechend lässt sich durch das Berücksichtigen des Zeitschwellenwerts eine fehlgeschlagene Implementierung erkennen, sodass die zentrale Recheneinrichtung zum nächsten Fahrzeug springen kann. Das Überprüfen des Einhaltens des Zeitschwellenwerts erfolgt dabei bevorzugt durch die zentrale Recheneinrichtung.

Entsprechend einer weiteren vorteilhaften Ausgestaltung des erfindungsgemäßen Aktualisierungssystems ist es ferner vorgesehen, dass die zentrale Recheneinrichtung ferner dazu eingerichtet ist einen Abbruchrisiko-Wert zu empfangen, beschreibend ein Verhältnis aus einer erwarteten Menge an Fahrzeugen, auf denen die Implementierung der Drahtlosaktualisierung fehlschlagen wird, zur Verteilungsmenge, und die Installationsmenge in Abhängigkeit des Abbruchrisiko-Werts festzulegen. Der Abbruchrisiko-Wert kann beispielsweise vom Fahrzeughersteller abgeschätzt werden. Während der Entwicklung einer entsprechenden Drahtlosaktualisierung bzw. eines entsprechenden Aktualisierungspakets kann der Installationsprozess in diversen Testumgebungen erprobt werden. Dies ermöglicht es für die verschiedensten Einsatzrandbedingungen eine entsprechende Fehlerquote zu ermitteln. Diese Fehlerquote lässt sich dann aus der Testumgebung auf die reale Fahrzeugflotte übertragen. Kommt es also beispielsweise während der Erprobung der Aktualisierungskampagne in entsprechenden Testumgebungen zu einer besonders geringen Fehlerquote, so kann eine im Vergleich höhere Installationsmenge gewählt werden, als bei einer hohen Fehlerquote. So ist nämlich damit zu rechnen, dass die Drahtlosaktualisierung auf den Fahrzeugen der Fahrzeugflotte sicher eingebracht werden kann, sodass aufgrund eines geringeren Ausfallrisikos auch mehr Fahrzeuge gleichzeitig aktualisiert werden können. Hierdurch kann die zum Ausführen der Aktualisierungskampagne erforderliche Zeitdauer noch weiter reduziert werden. Liegt hingegen ein hoher Abbruchrisiko-Wert vor, so wird die Installationsmenge reduziert, was dann das Ausfallrisiko minimiert.

Ein Verfahren zum Ausrollen von Drahtlosaktualisierungen unter Nutzung eines im vorigen beschriebenen Aktualisierungssystems sieht erfindungsgemäß das Durchführen der folgenden Verfahrensschritte vor:

- Festlegen oder Empfangen der Verteilungsmenge und der Installationsmenge, durch die zentrale Recheneinrichtung; und

- Verteilen und Implementieren der Drahtlosaktualisierung auf den durch die Installationsmenge angegebenen Fahrzeugen, durch die zentrale Recheneinrichtung; wobei

- die zentrale Recheneinrichtung die Installationsmenge unter Berücksichtigung der Statusinformation konstant hält.

Die Erfindung betrifft also nicht nur das Aktualisierungssystem für sich, sondern auch den vom Aktualisierungssystem ausgeführten Prozess.

Ein erfindungsgemäßes Computerprogrammprodukt umfasst maschineninterpretierbare Anweisungen, die bei einer Ausführung durch einen Prozessor einer zentralen Recheneinrichtung eines im vorigen beschriebenen Aktualisierungssystems dieses dazu veranlassen, ein solches Verfahren bereitzustellen.

Ein erfindungsgemäßes computerlesbares Speichermedium bevorratet ein solches erfindungsgemäßes Computerprogrammprodukt. Zur Bereitstellung des erfindungsgemäßen Verfahrens verfügt die zentrale Recheneinrichtung des erfindungsgemäßen Aktualisierungssystems zumindest über einen Lesezugriff auf besagtes computerlesbares Speichermedium.

Weitere vorteilhafte Ausgestaltungen des erfindungsgemäßen Aktualisierungssystems und des erfindungsgemäßen Verfahrens zum Ausrollen von Drahtlosaktualisierungen ergeben sich auch aus den Ausführungsbeispielen, welche nachfolgend unter Bezugnahme auf die Figuren näher beschrieben werden.

Dabei zeigen: Fig. 1 eine schematische Darstellung eines erfindungsgemäßen Aktualisierungssystems;

Fig. 2 eine schematische Darstellung einer wellenbasierten Ausrollung von Drahtlosaktualisierungen an die Fahrzeuge einer Fahrzeugflotte;

Fig. 3 eine schematische Darstellung einer erfindungsgemäßen Ausrollung von Drahtlosaktualisierungen an die Fahrzeuge der Fahrzeugflotte; und

Fig. 4 ein Ablaufdiagramm eines erfindungsgemäßen Verfahrens zum Ausrollen von Drahtlosaktualisierungen mit dem in Fig. 1 gezeigten Aktualisierungssystem.

Figur 1 zeigt ein erfindungsgemäßes Aktualisierungssystem 1 , umfassend eine zentrale Recheneinrichtung 4 sowie eine Vielzahl von Fahrzeugen 2, die einer Fahrzeugflotte 3 zugehören.

Ein jeweiliges Fahrzeug 2 umfasst zumindest eine fahrzeuginterne Recheneinheit 5, die über eine Telekommunikationseinheit 8 in drahtloser Kommunikationsverbindung zur zentralen Recheneinrichtung 4 steht. Dies ermöglicht eine Verteilung von Drahtlosaktualisierungen von der zentralen Recheneinrichtung 4 über das Internet an die jeweiligen Fahrzeuge 2.

Der Fahrzeughersteller der Fahrzeuge 2 der Fahrzeugflotte 3 kann eine Aktualisierungskampagne ausführen. Eine solche Aktualisierungskampagne sieht es vor, auf einer Auswahl der Recheneinheiten 5 einer Auswahl der Fahrzeuge 2 der Fahrzeugflotte 3 Aktualisierungspakete bzw. besagte Drahtlosaktualisierung einzuspielen. Beispielsweise soll die Firmware eines bestimmten Steuergeräts aktualisiert werden, um eine Sicherheitslücke zu schließen. In diesem Falle sind alle Fahrzeuge 2 von der Aktualisierungskampagne betroffen, in denen das besagte Steuergerät mit der besagten Firmware verbaut ist. Die Gesamtheit dieser Fahrzeuge 2 bzw. Recheneinheiten 5 ist in den Figuren 2 und 3 als Verteilungsmenge 6 dargestellt.

Figur 2 zeigt das bisher übliche Vorgehen zum Ausrollen der Drahtlosaktualisierung an die besagten Fahrzeuge 2. Hierzu wird die Verteilungsmenge 6 in mehrere Gruppen 9 unterteilt, die sequentiell mit der Drahtlosaktualisierung versorgt werden. Alle einer bestimmten Gruppe 9 zugeordnete Fahrzeuge 2 empfangen dabei besagte Drahtlosaktualisierung möglichst gleichzeitig. In Figur 2 wurde die Gruppe 9.1 bereits mit der Drahtlosaktualisierung versorgt. Die Gruppe 9.2 empfängt gerade die Drahtlosaktualisierung, welche dann in den jeweiligen Fahrzeugen 2 implementiert wird. Die Gruppen 9.3 und 9.4 stehen noch zur Versorgung mit der Drahtlosaktualisierung aus. Die Gruppe 9.3 wird dabei erst dann mit der Drahtlosaktualisierung versorgt, wenn das Ausrollen der Drahtlosaktualisierung an die Gruppe 9.2 abgeschlossen wurde.

Das in Figur 2 gezeigte Schema zum Verteilen der Drahtlosaktualisierung an die Fahrzeuge 2 der Fahrzeugflotte 3 erlaubt es, das Ausfallrisiko für die Fahrzeuge 2 der Fahrzeugflotte 3 aufgrund einer fehlerhaften Implementierung von Drahtlosaktualisierungen zu reduzieren. So können Fehler im Implementierungsprozess während dem Ausrollen der Drahtlosaktualisierung an die Gruppen 9.1 und 9.2 identifiziert werden und in Abhängigkeit des Einbringerfolgs die Verteilung an die Gruppen 9.3 und 9.4 angepasst werden. Aufgrund der sequentiellen Verteilung der Drahtlosaktualisierung an die Gruppen 9.1 bis 9.4 ist jedoch vergleichsweise viel Zeit zum Ausführen der Aktualisierungskampagne erforderlich.

Figur 3 zeigt ein erfindungsgemäßes Schema zum Ausrollen der Drahtlosaktualisierung an die Fahrzeuge 2. Figur 3 zeigt erneut eine Aufteilung der Fahrzeuge 2 der Fahrzeugflotte 3 auf die Verteilungsmenge 6. Erfindungsgemäß legt die zentrale Recheneinrichtung 4 eine Installationsmenge 7 fest oder empfängt diese, beispielsweise durch eine manuelle Eingabe von einem Entwickler, wobei diejenigen Fahrzeuge 2 der Fahrzeugflotte 3 die Drahtlosaktualisierungen empfangen und implementieren, die der Installationsmenge 7 zugeordnet sind. Die Installationsmenge 7 bleibt dabei konstant. Dies bedeutet, dass eine in Figur 3 gezeigte erste Menge 10.1 der Fahrzeuge 2 bereits mit der Drahtlosaktualisierung versorgt wurden und eine zweite Menge 10.2 der Verteilungsmenge 6 noch aussteht. Die Installationsmenge 7 bewegt sich dabei, wie durch einen Pfeil angedeutet, kontinuierlich in Richtung der zweiten Menge 10.2 fort, wodurch die zweite Menge 10.2 schrumpft und die ersten Menge 10.1 anwächst.

Mit Hilfe des erfindungsgemäßen Schemas zum Ausrollen von Drahtlosaktualisierungen kann die erforderliche Zeitdauer zur Ausführung der Aktualisierungskampagne verkürzt werden. Dabei bleibt jedoch das Ausfallrisiko der Fahrzeuge 2 bzw. der jeweiligen Recheneinheiten 5 im vertretbaren Rahmen. So kann das Ausrollen der Drahtlosaktualisierung an die der zweiten Menge 10.2 zugeordneten Fahrzeuge 2 in Abhängigkeit des Implementierungserfolgs der ersten Menge 10.1 angepasst werden.

Hierzu kann die zentrale Recheneinrichtung 4 eine Fehlerquote ermitteln, beschreibend ein Verhältnis aus den Fahrzeugen 2 der Verteilungsmenge 6, bei denen die Implementierung der Drahtlosaktualisierung fehlgeschlagen, ist zu einer Gesamtmenge der Fahrzeuge 2 der Verteilungsmenge 6, auf denen bereits eine Implementierung der Drahtlosaktualisierung stattgefunden hat. Diese Fehlerquote kann dann mit einem festgelegten Fehlerquotenschwellenwert verglichen werden und das Ausrollen der Drahtlosaktualisierung gestoppt werden, wenn die Fehlerquote den Fehlerquotenschwellenwert erreicht.

Die Größe der Installationsmenge 7, also die Anzahl derjenigen Fahrzeuge 2, die die Drahtlosaktualisierung empfangen sollen und dabei gleichzeitig besagte Drahtlosaktualisierung implementieren sollen, kann in Abhängigkeit verschiedener Randbedingungen unterschiedlich hoch gewählt werden. Insbesondere kann die zentrale Recheneinrichtung 4 einen Abbruchrisiko-Wert empfangen, der ein Maß für die Erfolgsaussichten einer erfolgreichen Implementierung der Drahtlosaktualisierung darstellt. Je geringer das Risiko ist, dass die Implementierung einer Drahtlosaktualisierung in einem Fahrzeug 2 fehlschlägt, desto größer kann auch die Installationsmenge 7 gewählt werden.

Der genaue Verfahrensablauf zum Ausrollen der Drahtlosaktualisierung wird noch einmal anhand von Figur 4 veranschaulicht. In einem Schritt 400 startet das Verfahren. In einem Schritt 401 wird ein fortlaufender Zähler auf 0 gesetzt. Dies lässt sich beispielsweise ausdrücken als „i = 0“.

In einem Schritt 402 wird geprüft, ob der fortlaufende Zähler maximal so groß ist, wie die Installationsmenge 7. Dies lässt sich ausdrücken als „i <= N“.

Ist dies der Fall, so erfolgt in Schritt 403 eine Verteilung der Drahtlosaktualisierung an ein neues Fahrzeug 2 bzw. eine vom jeweiligen Fahrzeug 2 umfasste interne Recheneinheit 5. Anschließend wird im Schritt 404 der fortlaufende Zähler hochgezählt, gleichbedeutend mit „i + 1“.

Sobald die Anzahl der Fahrzeuge 2, die mit Drahtlosaktualisierungen versorgt werden, der Installationsmenge 7 entspricht, wird im Schritt 405 überprüft, ob wenigstens ein Fahrzeug 2 die Implementierung der Drahtlosaktualisierung beendet. Hierzu können die jeweiligen Fahrzeuge 2 eine Statusinformation an die zentrale Recheneinrichtung 4 übermitteln. Anhand der Statusinformation kann die zentrale Recheneinrichtung 4 den Implementierungserfolg der Drahtlosaktualisierung nachvollziehen.

Im Schritt 406 überprüft nun die zentrale Recheneinrichtung 4, ob eine jeweilige Implementierung im Fahrzeug 2 bzw. auf der Recheneinheit 5 erfolgreich war oder nicht. Ist dies der Fall, so wird im Schritt 407 der fortlaufende Zähler abgesenkt, angedeutet durch „i - 1". Dies hat das erneute Ausführen der Schritte 403 und 404 zur Folge, sodass die Verteilung der Drahtlosaktualisierung an das nächste Fahrzeug 2 der Verteilungsmenge 6 erfolgt.

War hingegen keine erfolgreiche Implementierung der Drahtlosaktualisierung möglich, so überprüft die zentrale Recheneinrichtung 4 im Schritt 408, ob die Fehlerquote den festgelegten Fehlerquotenschwellenwert erreicht hat. Ist dies der Fall, so wird das Ausrollen der Drahtlosaktualisierung an die Fahrzeuge 2 im Schritt 409 unterbrochen bzw. beendet. Ist dies hingegen nicht der Fall, wird erneut der Schritt 407 ausgeführt, und der fortlaufende Zähler um 1 abgesenkt, sodass die Verteilung der Drahtlosaktualisierung an das nächste Fahrzeug 2 erfolgen kann.

Mit Hilfe des erfindungsgemäßen Aktualisierungssystems 1 und des erfindungsgemäßen Verfahrens zum Ausrollen von Drahtlosaktualisierungen lässt sich die Zeitdauer zur Ausführung der Aktualisierungskampagne verkürzen, wobei das Ausfallrisiko der einzelnen Fahrzeuge 2 der Fahrzeugflotte 3 minimiert wird.

Claims

Patentansprüche

1. Aktualisierungssystem (1) zum Ausrollen von Drahtlosaktualisierungen für Fahrzeuge (2), umfassend eine Fahrzeugflotte (3) mit einer Vielzahl an Fahrzeugen (2) und eine zentrale Recheneinrichtung (4), wobei die zentrale Recheneinrichtung (4) zur Verteilung einer Drahtlosaktualisierung an die Fahrzeuge (2) unter Nutzung eines drahtlosen Kommunikationskanals eingerichtet ist und die Fahrzeuge (2) dazu eingerichtet sind die Drahtlosaktualisierung von der zentralen Recheneinrichtung (4) zu empfangen und jeweils eine respektive Drahtlosaktualisierung in einer fahrzeuginternen Recheneinheit (5) zu implementieren, dadurch gekennzeichnet, dass die zentrale Recheneinrichtung (4) ferner dazu eingerichtet ist:

- eine Verteilungsmenge (6) und eine Installationsmenge (7) festzulegen oder zu empfangen, die Verteilungsmenge (6) definierend eine Auswahl an Fahrzeugen (2) der Fahrzeugflotte (3) an die die Drahtlosaktualisierung ausgerollt werden soll und die Installationsmenge (7) definierend eine Untermenge der der Verteilungsmenge (6) zugeordneten Fahrzeuge (2), die die Drahtlosaktualisierung gleichzeitig implementieren sollen;

- die Drahtlosaktualisierung an die der Installationsmenge (7) zugeordneten Fahrzeuge (2) zu verteilen und dort zu implementieren, wobei die jeweiligen Fahrzeuge (2) dazu eingerichtet sind eine Statusinformation an die zentrale Recheneinrichtung (4) zu übermitteln, umfassend zumindest eine Information, ob die respektive Drahtlosaktualisierung erfolgreich auf der jeweiligen fahrzeuginternen Recheneinheit (5) implementiert wurde oder die Aktualisierung fehlgeschlagen ist; und

- unter Berücksichtigung respektiver Statusinformationen die Installationsmenge (7) konstant zu halten, sodass sobald die Implementierung der Drahtlosaktualisierung in einem Fahrzeug (2) beendet wurde, die Verteilung und Implementierung in einem nächsten Fahrzeug (2) der Verteilungsmenge (6) gestartet wird.

2. Aktualisierungssystem (1) nach Anspruch 1, dadurch gekennzeichnet, dass die zentrale Recheneinrichtung (4) ferner dazu eingerichtet ist:

- eine Fehlerquote zu ermitteln, beschreibend ein Verhältnis aus den Fahrzeugen (2) der Verteilungsmenge (6) bei denen die Implementierung der Drahtlosaktualisierung fehlgeschlagen ist zu einer Gesamtmenge der Fahrzeuge (2) der Verteilungsmenge (6) auf denen bereits eine Implementierung der Drahtlosaktualisierung stattgefunden hat; und

3. Aktualisierungssystem (1) nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die zentrale Recheneinrichtung (4) ferner dazu eingerichtet ist einen Abbruchrisiko- Wert zu empfangen, beschreibend ein Verhältnis aus einer erwarteten Menge an Fahrzeugen (2) auf denen die Implementierung der Drahtlosaktualisierung fehlschlagen wird zur Verteilungsmenge (6), und die Installationsmenge (7) in Abhängigkeit des Abbruchrisiko- Werts festzulegen.

4. Verfahren zum Ausrollen von Drahtlosaktualisierungen mit einem Aktualisierungssystem (1) nach einem der Ansprüche 1 bis 3, gekennzeichnet durch die folgenden Verfahrensschritte:

- Festlegen oder empfangen der Verteilungsmenge (6) und der Installationsmenge (7), durch die zentrale Recheneinrichtung (4); und

- Verteilen und Implementieren der Drahtlosaktualisierung auf den durch die Installationsmenge (7) angegebenen Fahrzeugen (2), durch die zentrale Recheneinrichtung (4); wobei

- die zentrale Recheneinrichtung(4) die Installationsmenge (7) unter Berücksichtigung der Statusinformation konstant hält.

5. Computerprogrammprodukt, gekennzeichnet durch maschineninterpretierbare Anweisungen, die bei einer Ausführung durch einen Prozessor einer zentralen Recheneinrichtung (4) eines Aktualisierungssystems (1) nach einem der Ansprüche 1 bis 3 dieses dazu veranlassen, ein Verfahren nach Anspruch 4 bereitzustellen.

6. Computerlesbares Speichermedium, gekennzeichnet durch ein Computerprogrammprodukt nach Anspruch 5.