车辆用软件分配系统的制作方法

本发明涉及车辆用软件分配系统的技术领域。

背景技术：

已知具备可相互通信的多个电子控制单元(ecu)的车辆。在这样的车辆中，通过在各ecu中配置软件来实现特定的功能。在日本特开2013-237311中，提出了如下技术：对通过软件实现的功能进行层次化，如果是邻接的层次的功能，则许可向相同的ecu配置，如果是分开的层次的功能，则禁止向相同的ecu配置。在日本特开2013-143093中提出了如下技术：在多个ecu中使多个软件工作的情况下，在优先级低的软件的工作中停止进行通知。在日本特开2008-254484中，提出了如下技术：在具备多个ecu的系统中，在自身数据改写时保存从其它ecu接收到的备份数据。

技术实现要素：

在具备多个ecu的系统中，在想要新配置软件的情况下，根据ecu的空闲容量、处理负荷性能来决定配置目的地的情形较多。然而，若仅考虑ecu的空闲容量、处理负荷性能，则难以将软件配置到适合的ecu。

具体而言，搭载于车辆的多个ecu分别具有不同的性能，进而所设置的环境(例如温度环境、防水环境等)也不相同，所以发生工作不良的概率不同。即，存在比较易于引起工作不良的ecu，另一方面还存在比较不易引起工作不良的ecu。在这样的状况下若仅考虑ecu的空闲容量、处理负荷性能来配置软件，则用于实现重要的功能的软件(例如在行驶中不可欠缺的基本软件)有时会被配置到易于引起工作不良的ecu中。在该情况下，车辆的鲁棒性会降低。

本发明提供一种在具备多个ecu的车辆中能够将软件配置于适合的ecu的车辆用软件分配系统。

本发明的第一方式提供一种车辆用软件分配系统，具备：

多个ecu，在车辆中与共同的网络连接，能够执行与经由所述网络配置的软件对应的控制；

第一取得部，构成为关于所述多个ecu的各个，取得第一等级值，发生工作不良的概率越高则所述第一等级值越高；

第二取得部，构成为关于追加地配置于所述多个ecu的追加软件，取得第二等级值，所述追加软件的重要度越高则所述第二等级值越高；

决定部，构成为以所述追加软件的所述第二等级值越高则配置到所述第一等级值越低的ecu的方式，从所述多个ecu中决定配置所述追加软件的ecu；以及

配置部，将所述追加软件配置到所决定的所述ecu。

根据上述方式的车辆用软件分配系统，表示重要度的高低的第二等级值越高的软件，被配置到表示发生工作不良的概率的高低的第一等级值越低(即，不易发生工作不良)的ecu，所以能够提高车辆的鲁棒性。

在第一方式中，所述第一等级值也可以是根据所述车辆中的所述多个ecu各自的设置位置而设定的值。

在ecu中发生工作不良的概率较大地依赖于设置了ecu的环境(车辆中的设置位置)。因此，如果利用ecu的设置位置，则能够恰当地设定第一等级值。

在第一方式中，所述第二等级值也可以是根据按照所述追加软件执行的控制的内容而设定的值。

根据该方式，能够根据按照追加软件执行的控制的内容，恰当地设定第二等级值。

在第一方式中，所述决定部也可以构成为以满足在所述追加软件与所述多个ecu各自控制的被控制部之间要求的响应性的方式，决定配置所述追加软件的ecu。

根据该方式，能够将追加软件配置到能够在与被控制部之间实现高的响应性的ecu。

在第一方式中，所述决定部也可以构成为以所述追加软件的所述第二等级值越高则配置到所述第一等级值越低的ecu的方式、并且以满足在所述追加软件与已配置于所述多个ecu的现有软件之间要求的通信速度的方式，决定配置所述追加软件的ecu。

根据该方式，能够将追加软件配置到能够在与现有软件之间实现高的通信速度的ecu。

在第一方式中，所述决定部也可以构成为以所述追加软件的所述第二等级值越高则配置到所述第一等级值越低的ecu的方式、并且以满足所述追加软件要求的电力的供给定时的方式，决定配置所述追加软件的ecu。

根据该方式，能够将追加软件配置到能够对追加软件在适合的定时供给电力的ecu。

第一方式的车辆用软件分配系统还可以具备判定部，在所决定的所述ecu中配置所述追加软件的容量不足的情况下，所述判定部判定在所决定的所述ecu中是否配置有所述第二等级值比所述追加软件低的低等级软件。在该方式中，所述配置部也可以构成为在所决定的所述ecu中配置有所述低等级软件的情况下，从所决定的所述ecu删除所述低等级软件，并且将所述追加软件配置到所述低等级软件被删除的所决定的所述ecu。

根据该方式，即使在想要配置追加软件的ecu的容量不足的情况下，也能够通过低等级软件的删除来配置追加软件。

在上述方式中，所述配置部也可以构成为将从所决定的所述ecu删除的所述低等级软件重新配置到所述多个ecu中的、所述第一等级值比所决定的所述ecu高的第二ecu。

在该情况下，低等级软件配置于第二ecu，所以能够避免低等级软件的功能损失。

在第一方式中，所述决定部也可以构成为将配置于所述多个ecu中的第三ecu、且判断为由于所述第三ecu的故障而应拷贝到其它ecu的软件，处理为所述追加软件。

根据该方式，即使在配置有软件的第三ecu中发生了故障的情况下，也能够重新配置到适合的ecu中。

本发明的第2方式提供一种车辆用软件分配系统。所述第2方式的车辆用软件分配系统具备：

多个ecu，在车辆中与共同的网络连接，能够执行与经由所述网络配置的软件对应的控制；

第一取得部，构成为关于所述多个ecu的各个，取得第一等级值，发生工作不良的概率越高则所述第一等级值越高；

第二取得部，构成为关于追加地配置于所述多个ecu中的追加软件，取得第二等级值，所述追加软件的重要度越高则所述第二等级值越高；

决定部，构成为从所述多个ecu中决定满足所述追加软件的所述第二等级值越高则能够配置所述追加软件的所述ecu的所述第一等级值越低的要求的、配置所述追加软件的ecu；以及

配置部，构成为将所述追加软件配置到所决定的所述ecu。

附图说明

下面参照附图对本发明具体实施方式的特征、有益效果以及技术和工业意义进行说明，附图中相同的数字表示相同的部件，并且其中：

图1是示出第一实施方式的车辆用软件分配系统的结构的框图。

图2是示出第一实施方式的车辆用软件分配系统的工作的流程的流程图。

图3是示出软件等级值和ecu等级值的匹配处理的流程的流程图。

图4是示出软件等级值的具体例的表。

图5是示出ecu等级值的具体例的表。

图6是示出与软件的结合条件有关的匹配处理的流程的流程图。

图7是示出与响应性条件有关的匹配处理的一个例子的概念图。

图8是示出与通信速度条件有关的匹配处理的一个例子的概念图。

图9是示出与电源定时条件有关的匹配处理的一个例子的概念图。

图10是示出第二实施方式的车辆用软件分配系统的工作的流程的流程图。

图11是示出软件的可配置判定处理的流程的流程图。

图12是示出第三实施方式的车辆用软件分配系统的工作的流程的流程图。

具体实施方式

根据附图，说明本发明的实施方式的车辆用软件分配系统。

<第一实施方式>

参照图1至图9，说明第一实施方式的车辆用软件分配系统。以下，依次说明车辆用软件分配系统的结构、车辆用软件分配系统的整体工作、与等级值有关的匹配处理、与结合条件有关的匹配处理、通过车辆用软件分配系统得到的技术效果。

<车辆用软件分配系统的结构>

首先，参照图1，说明第一实施方式的车辆用软件分配系统的结构。此处，图1是示出第一实施方式的车辆用软件分配系统的结构的框图。

在图1中，第一实施方式的车辆用软件分配系统10搭载于汽车等车辆，构成为与车外的服务器600能够无线通信。从车外的服务器600能够下载例如新软件等各种信息。车辆用软件分配系统10构成为具备统一控制电子控制单元(ecu)100、第一ecu210、第二ecu220、第三ecu230、第四ecu240、第一致动器驱动器310、第二致动器驱动器320、第一智能传感器410、第二智能传感器420、第一致动器510以及第二致动器520。

统一控制ecu100是具有中央处理单元(cpu)等运算电路的控制单元，构成为能够执行第一ecu210、第二ecu220、第三ecu230以及第四ecu240(以下有时将它们集中称为“多个ecu200”。另外，有时指第一ecu210、第二ecu220、第三ecu230以及第四ecu240中的任意一个而称为“ecu200”)各自的控制(包括状态管理)。在统一控制ecu100中，作为在其内部实现的逻辑上或者物理上的处理块，具备ecu等级值取得部110、软件等级值取得部120、配置目的地决定部130、软件配置部140。

ecu等级值取得部110构成为能够根据车辆中的ecu200的设置位置来取得表示在ecu200中发生工作不良的概率的高低的ecu等级值。做成在ecu等级值取得部110中取得的ecu等级值被输出到配置目的地决定部130的结构。关于ecu等级值，在后面详述。

软件等级值取得部120构成为能够取得表示要配置于ecu200或者配置于ecu200的软件的重要度的软件等级值。做成在软件等级值取得部120中取得的软件等级值被输出到配置目的地决定部130的结构。关于软件等级值，在后面详述。

配置目的地决定部130构成为能够决定应配置到ecu200的软件的配置目的地。即，配置目的地决定部130从第一ecu210、第二ecu220、第三ecu230以及第四ecu240中，决定应配置软件的ecu200(以下适当地称为“配置目的地ecu”)。关于配置目的地ecu的具体的决定方法，在后面详述。做成与配置目的地ecu有关的信息被输出到软件配置部140的结构。

软件配置部140构成为能够执行用于在配置目的地ecu配置软件的写入处理。另外，软件配置部140构成为还能够执行删除在ecu200中配置的软件的处理。

第一ecu210、第二ecu220、第三ecu230以及第四ecu240通过网关相互连接。另外，第一ecu210、第二ecu220、第三ecu230以及第四ecu240分别通过网关连接于统一控制ecu100。即，统一控制ecu100和各ecu200构成为可经由网关相互通信。ecu200是通过在其内部配置软件来能够执行与软件对应的处理的控制单元。此外，ecu200的数量是两个以上即可，并非如本实施方式那样限定于四个。

第一致动器驱动器310以及第二致动器驱动器320是构成为能够分别控制第一致动器510以及第二致动器520的驱动器。第一致动器驱动器310经由第一本地通信，与第一ecu210以及第二ecu220连接，根据来自这些ecu200的指令，控制第一致动器510的动作。另一方面，第二致动器驱动器320经由第二本地通信，与第三ecu230以及第四ecu220连接，根据来自这些ecu200的指令，控制第二致动器520的动作。

第一智能传感器410以及第二智能传感器420是传感器和其信号处理电路被一体化的集成电路类型的传感器，构成为能够检测车辆内部或者外部的各种信息。

第一致动器510以及第二致动器520构成为能够实现车辆中的机械性的动作。

<车辆用软件分配系统的整体工作>

接下来，参照图2，说明第一实施方式的车辆用软件分配系统10的整体工作。此处，图2是示出第一实施方式的车辆用软件分配系统的工作的流程的流程图。此外，图2所示的各处理是在统一控制ecu100中执行的处理。

在图2中，在第一实施方式的车辆用软件分配系统10工作时，首先判定是否有向ecu200的软件的配置要求(步骤s101)。该配置要求不仅包括安装新的软件的情况的要求，而且还包括使已经配置的软件移动的情况的要求。在没有软件的配置要求的情况下(步骤s101：“否”)，省略以后的处理而结束一连串的处理。

在有软件的配置要求的情况下(步骤s101：“是”)，判定是否存在存储器容量以及处理负荷有富余的ecu200(步骤s102)。具体而言，判定是否存在剩有记录想要新配置的软件(以下适当地称为“追加软件”)的存储器容量并且处理负荷有即使配置追加软件也能够工作的程度的富余的ecu200。统一控制ecu100例如根据自身管理的ecu200的管理信息，进行上述判定处理。在不存在存储器容量以及处理负荷有富余的ecu200的情况下(步骤s102：“否”)，省略以后的处理而结束一连串的处理。即，判断为在当前时间点无法将软件配置到ecu200，不将软件配置到ecu200而结束一连串的处理。

在存在存储器容量以及处理负荷有富余的ecu200的情况下(步骤s102：“是”)，判定是否存在与用于配置软件的条件匹配的ecu200(步骤s103)。具体而言，判定是否存在ecu等级值与追加软件的软件等级值匹配的ecu200。关于该步骤s103的处理，在后面详细说明。在不存在与用于配置追加软件的条件匹配的ecu200的情况下(步骤s103：“否”)，省略以后的处理而结束一连串的处理。即，判断为在当前时间点无法将软件配置到ecu200，不将软件配置到ecu200而结束一连串的处理。

在存在一个以上的与用于配置追加软件的条件匹配的ecu200的情况下(步骤s103：“是”)，执行用于决定配置目的地ecu的处理(步骤s104)。即，执行用于从在步骤s103中判定出的与用于配置追加软件的条件匹配的ecu200中决定实际配置追加软件的ecu200的处理。在步骤s104中，进一步执行与此前执行的匹配处理不同的观点的匹配处理(具体而言，基于结合条件的匹配处理)。关于步骤s104的处理，在后面详细说明。

当决定了配置目的地ecu时，执行将追加软件配置到配置目的地ecu的处理(步骤s105)。通过以上的处理，结束利用车辆用软件分配系统10进行的软件的配置处理。

<与等级值有关的匹配处理>

接下来，参照图3至图5，详细说明图2的步骤103的处理(与等级值有关的匹配处理)。此处，图3是示出软件等级值和ecu等级值的匹配处理的流程的流程图。另外，图4是示出软件等级值的具体例的表，图5是示出ecu等级值的具体例的表。

在图3中，当开始步骤s103的处理时，执行与追加软件的软件等级值有关的判定(步骤s201)。软件等级值是例如以下那样决定的值。

如图4所示，根据软件的重要度，决定软件等级值。软件等级值是按照0～9这10个阶段表示的值，软件的重要度越高，成为越大的值。此外，此处的“重要度”是指，表示软件执行的控制的重要性的值，在本实施方式中使用软件未正常地工作的情况下可能发生的不合适的影响度。作为一个例子，“重要度”也可以根据在软件未正常地工作的情况下对车辆的行驶时的安全性造成的影响的大小来决定。作为另一例子，“重要度”也可以根据在软件未正常地工作的情况下对车辆的行驶功能造成的影响的大小来决定。

在本实施方式中，具体而言，由于工作不良而有重大事故的可能性的软件的软件等级值是“9”。由于工作不良而有轻微事故的可能性的软件的软件等级值是“8”。由于工作不良而发生不规则的事态而用户感到不满的软件的等级值是“7”。由于工作不良而车辆的行驶功能至少部分性地停止而用户感到不满的软件的等级值是“6”。由于工作不良而车辆的行驶性能降低或者附加功能停止而用户感到不满的软件的等级值是“5”。由于工作不良而发生便利功能的麻烦或者多个用户感到不愉快的软件的等级值是“4”。由于工作不良而少数的用户感到不愉快的软件的等级值是“3”。由于工作不良而极其少数的用户感到不愉快的软件的等级值是“2”。能够忽略工作不良所致的影响的软件的等级值是“1”。即便在所有车辆中发生工作不良也没关系的程度的软件的等级值是“0”。

返回到图3，在步骤s201的判定中，根据软件等级值，决定在其以后执行的处理。具体而言，检索与软件等级值对应的ecu等级值的ecu200是否存在于存储器容量以及处理负荷有富余的ecu200(参照图2的步骤102)之中。此外，ecu等级值是用d～s这5个阶段表示的值，ecu200中的工作不良的发生概率越高，成为越高的值。ecu等级值从高的一方起为d>c>b>a>s的顺序，越接近d，越易于发生工作不良，越接近s，越不易发生工作不良。此外，此处的“工作不良”意味着ecu200无法正常地进行工作的状态，不仅包括完全停止工作的情况，而且还包括无法进行一部分工作或者工作延迟的情况等。

如图5所示，根据各ecu200在车辆中的配置位置(配置环境)决定ecu等级值即可。具体而言，关于配置于发动机室的周边的ecu200的ecu等级值，在配置于碰撞试验时的故障发生率高的场所的情况下为“d”，除此以外在温度环境可能成为105℃以上的情况下为“c”，其它为“b”。关于配置于车厢的周边的ecu200的ecu等级值，在配置于碰撞试验时的故障发生率高的场所的情况下为“d”，除此以外在温度环境可能成为90℃以上的情况下为“b”，在温度环境可能成为70℃以上且小于90℃的情况下为“a”，其它为“s”。关于配置于行李厢的周边的ecu200的ecu等级值，在配置于碰撞试验时的故障发生率高的场所的情况下为“d”，除此以外在温度环境可能成为90℃以上的情况下为“b”，在温度环境可能成为70℃以上且小于90℃的情况下为“a”，其它为“s”。

再次返回到图3，在软件等级值是0或者1的情况下，检索是否存在ecu等级值是d～s的ecu200(步骤s202)。在软件等级值是2或者3的情况下，检索是否存在ecu等级值是c～s的ecu200(步骤s203)。在软件等级值是4或者5的情况下，检索是否存在ecu等级值是b～s的ecu200(步骤s204)。在软件等级值是6或者7的情况下，检索是否存在ecu等级值是a～s的ecu200(步骤s205)。在软件等级值是8或者9的情况下，检索是否存在ecu等级值是s的ecu200(步骤s206)。这样，想要配置的软件的软件等级值越高，作为配置目的地ecu，要求ecu等级值越高的ecu200。

上述步骤s202～s206的检索处理的结果，在存在软件等级值和ecu等级值匹配的ecu200的情况下(步骤s207：“是”)，能够判断为存在与条件匹配的ecu200，所以步骤s103的判定结果为“是”。另一方面，在不存在软件等级值和ecu等级值匹配的ecu200的情况下(步骤s207：“否”)，能够判断为不存在与条件匹配的ecu200，所以步骤s103的判定结果为“否”。

<与结合条件有关的匹配处理>

接下来，参照图6，说明图2的步骤s104的处理(与结合条件有关的匹配处理)。此处，图6是示出与软件的结合条件有关的匹配处理的流程的流程图。

在图6中，当开始步骤s104的处理时，判定在追加软件中是否有结合条件(步骤s301)。此外，此处的“结合条件”是指，为了按照与通过追加软件来控制的车辆的各部的关系、与在各ecu200中已经配置的其它软件的关系、与各ecu200的工作条件的关系进行适合的控制而对追加软件的配置位置施加的条件。此外，在追加软件中不存在结合条件的情况下(步骤s301：“否”)，从在步骤s103中判定为软件等级值和ecu等级值匹配的ecu中，决定配置目的地ecu即可(步骤s304)。

在追加软件中存在结合条件的情况下(步骤s301：“是”)，执行用于选定与结合条件匹配的ecu200的结合条件匹配处理(步骤s302)。在本实施方式的结合条件匹配处理中，执行与响应性条件、通信速度条件以及电源定时条件有关的匹配处理。

在与响应性条件有关的匹配处理中，判定在步骤s103中判定为软件等级值和ecu等级值匹配的ecu200中是否存在能够满足在追加软件与通过追加软件控制的部位(例如第一致动器驱动器310及第二致动器驱动器320、以及第一智能传感器410及第二智能传感器420等)之间要求的响应性的ecu200。

在与通信速度条件有关的匹配处理中，判定在步骤s103中判定为软件等级值和ecu等级值匹配的ecu200中是否存在能够满足在追加软件与在各ecu200中已经配置的其它软件之间要求的通信速度的ecu200。

在与电源定时条件有关的匹配处理中，判定在步骤s103中判定为软件等级值和ecu等级值匹配的ecu200中是否存在满足追加软件所要求的电源定时(即为了执行基于软件的处理而要求电力供给的定时)的ecu200。

如果与各条件有关的匹配处理结束，则判定为与条件匹配的ecu200被决定为配置目的地ecu(步骤s303)。此外，在存在多个条件的情况下，优选为与其全部条件匹配的ecu200被决定为配置目的地ecu。另外，在不存在满足条件的ecu200的情况下，将匹配程度(即表示何种程度地满足条件的值)最高的ecu200决定为配置目的地ecu即可。

以下，参照图7至图9，具体地说明基于上述各种条件的匹配处理。此处，图7是示出与响应性条件有关的匹配处理的一个例子的概念图，图8是示出与通信速度条件有关的匹配处理的一个例子的概念图。另外，图9是示出与电源定时条件有关的匹配处理的一个例子的概念图。此外，在以下所示的例子中，设为第一ecu210、第二ecu220、第三ecu230以及第四ecu240全部在上述步骤s103的处理中被判定为等级值匹配。

在图7中，考虑如下情况：在第一ecu210中已经配置了软件a以及软件b、在第二ecu220中已经配置了软件c以及软件d、在第三ecu230中已经配置了软件e以及软件f、在第四ecu240中已经配置了软件g以及软件h的前提下，想要配置新的软件i。此外，软件i是用于执行与第一智能传感器410有关的处理的软件，是在与第一智能传感器410之间要求高的响应性的软件。

在该情况下，如果软件i的配置目的地ecu是第一ecu210或者第二ecu220，则能够经由第一本地通信来与第一智能传感器410通信。另一方面，如果软件i的配置目的地ecu是第三ecu230或者第四ecu240，则如果不仅不经由第一本地通信而且不经由网关，则无法与第一智能传感器410通信。在要求经由网关的通信的情况下，相比于仅通过第一本地通信就能够通信的情况，响应性降低。

在软件i所要求的响应性是与仅通过本地通信就能够通信的状况相当的响应性的情况下，满足响应性条件的ecu200是第一ecu210以及第二ecu220，第三ecu230以及第四ecu240不满足响应性条件。因此，在该情况下，第一ecu210或者第二ecu220被选择为软件i的配置目的地ecu。

在图8中，考虑在与图7所示的例子同样的前提下想要配置新的软件j的情况。在此，特别地，软件j是与在第四ecu240中配置的软件g协作而执行处理的软件。因此，对软件j施加能够与软件g进行高速通信(即，能够高速地进行进程间通信)这样的条件。

在该情况下，如果软件j的配置目的地ecu是第四ecu240，则能够在同一ecu内进行通信。另一方面，如果软件j的配置目的地ecu是第三ecu230，则经由第二本地通信进行通信，如果软件j的配置目的地ecu是第一ecu210或者第二ecu220，则经由网关进行通信。软件之间的通信速度在配置于同一ecu内的情况下最快，在经由第二本地通信或网关进行通信的情况下变慢。

在软件j所要求的通信速度是与同一ecu内的通信速度相当的通信速度的情况下，满足通信速度条件的ecu200仅为第四ecu240，其它第一ecu210、第二ecu220以及第三ecu230不满足通信速度条件。因此，在该情况下，第四ecu240被选择为软件j的配置目的地ecu。

在图9中，考虑在与图7以及图8所示的例子同样的前提下想要配置新的软件k的情况。在此，特别地，软件k要求作为电源定时使用acc系电源。即，软件k是要求在acc接通时供给电力的软件。

在此，第一ecu210以及第四ecu240是不间断电源系统的(即，能够不间断地供给电力的)ecu200。第二ecu220是acc电源系统的(即，在acc接通的情况下能够供给电力的)ecu200。第3ecu230是ig电源系统的(即，在ig接通的情况下能够供给电力的)ecu200。

软件k所要求的电源定时是acc电源系统，所以作为acc电源系统的第二ecu220是满足与电源定时有关的条件的ecu200。另外，关于作为不间断电源系统的第一ecu210以及第四ecu240，也满足与电源定时有关的条件。另一方面，作为ig电源系统的第三ecu230无法满足电源定时条件。因此，在该情况下，第一ecu210、第二ecu220或者第四ecu240被选择为软件k的配置目的地ecu。

<实施方式的效果>

接下来，说明通过第一实施方式的车辆用软件分配系统10得到的有益的技术效果。

如在图1至图9中说明那样，根据第一实施方式的车辆用软件分配系统10，不仅根据与存储器容量以及处理负荷有关的条件，而且还根据与等级值有关的匹配以及与结合条件有关的匹配，决定配置目的地ecu。因此，能够针对多个ecu200恰当地配置软件。

具体而言，通过进行与等级值有关的匹配处理，能够防止重要度高的软件被配置于易于发生工作不良的ecu200。由此，能够提高车辆的鲁棒性。另外，通过进行与结合条件有关的匹配处理，能够避免所配置的软件无法进行适合的工作这样的状况。

此外，在第一实施方式中，不进行追加软件的软件等级值和已经配置在ecu200中的已配置软件的软件等级值的比较。因此，即使在追加软件的软件等级值高于已配置软件的软件等级值的情况下，也能够在ecu等级值比配置有已配置软件的ecu200高的(易于发生工作不良的)ecu200中配置追加软件。即使在这样的情况下，通过在能够配置新的软件的ecu200中的、ecu等级值更低的(不易发生工作不良的)ecu200中配置追加软件，从而发挥上述技术效果。

<第二实施方式>

接下来，说明第二实施方式的车辆用软件分配系统。此外，第二实施方式与已经说明的第一实施方式相比，只有一部分的工作不同，系统结构、其它大多部分大致相同。因此，以下详细说明与第一实施方式不同的部分，关于其它重复的部分，适当地省略说明。

<车辆用软件分配系统的整体工作>

首先，参照图10，说明第二实施方式的车辆用软件分配系统10的整体工作。此处，图10是示出第二实施方式的车辆用软件分配系统的工作的流程的流程图。此外，在图10中，对与在图2中说明的处理同样的处理，附加同一符号，关于其详细的说明，适当地省略。

在图10中，在第二实施方式的车辆用软件分配系统10工作时，首先判定是否有向ecu200的软件的配置要求(步骤s101)。在没有软件的配置要求的情况下(步骤s101：“否”)，省略以后的处理而结束一连串的处理。

在有软件的配置要求的情况下(步骤s101：“是”)，判定是否存在与用于配置软件的条件匹配的ecu200(步骤s103)。即，执行在图3中说明的与等级值有关的匹配处理。此外，在不存在与用于配置软件的条件匹配的ecu200的情况下(步骤s103：“否”)，省略以后的处理而结束一连串的处理。即，判断为在当前时间点无法将软件配置到ecu200中，不将软件配置到ecu200而结束一连串的处理。

如从上述工作也可知，在第二实施方式中，省略第一实施方式中的步骤s102(参照图2)。即，在该阶段中，不判定是否存在存储器容量以及处理负荷有富余的ecu200。

在存在与用于配置追加软件的条件匹配的ecu200的情况下(步骤s103：“是”)，执行用于决定配置目的地ecu的处理(步骤s104)。即，执行在图6中说明的与结合条件有关的匹配处理。

当决定了配置目的地ecu时，判定可否在配置目的地ecu中配置软件(步骤s401)。步骤s401的处理是包括与存储器容量以及处理负荷有关的判定(即与步骤s102同样的处理)的处理。此外，关于步骤s401的具体的处理内容，在后面详细说明。

在判定为在配置目的地ecu中无法配置软件的情况下(步骤s401：“否”)，再次执行步骤s104的处理，决定新的配置目的地ecu。但是，从执行第二次以后的s104时的新的配置目的地ecu的候补去掉在步骤s401中判定为无法配置软件的ecu200。此外，在关于所有ecu200判定为无法配置软件的情况下，也可以进行不反复进行步骤s104以后的处理而结束一连串的处理的例外的处理。

在判定为在配置目的地ecu中能够配置软件的情况下(步骤s401：“是”)，执行将追加软件配置到配置目的地ecu的处理(步骤s105)。通过以上的处理，利用车辆用软件分配系统10配置软件的配置处理结束。

<软件的可配置判定处理>

接下来，参照图11，说明作为第二实施方式所特有的处理的步骤s401的处理(软件的可配置判定处理)。此处，图11是示出软件的可配置判定处理的流程的流程图。

在图11中，在软件的可配置判定处理中，关于配置目的地ecu的存储器容量以及处理负荷判定是否有配置追加软件的富余(步骤s501)。即，仅针对配置目的地ecu，执行与第一实施方式的步骤s102(参照图2)同样的处理。此外，在判定为在配置目的地ecu中有配置追加软件的富余的情况下(步骤s501：“是”)，省略以后的处理，步骤s401的判定结果为“是”。这是因为，如果在配置目的地ecu中有配置追加软件的富余，则能够没问题地配置追加软件。

在判定为在配置目的地ecu中没有配置追加软件的富余的情况下(步骤s501：“否”)，判定在配置目的地ecu中是否存在软件等级值(即重要度)比追加软件低的低等级软件(步骤s502)。在配置目的地ecu中不存在低等级软件的情况下(步骤s502：“否”)，判断为在配置目的地ecu中无法配置追加软件，步骤s401的判定结果为“否”。

在配置目的地ecu中存在低等级软件的情况下(步骤s502：“是”)，判定能否通过从配置目的地ecu删除低等级软件来配置追加软件(步骤s503)。即，判定能否通过低等级软件的删除而在配置目的地ecu的存储器容量以及处理负荷中确保富余。此外，在配置目的地ecu中存在多个低等级软件的情况下，判定能否通过删除它们全部来配置追加软件即可。在判定为即使删除低等级软件也无法配置追加软件的情况下(步骤s503：“否”)，判断为无法在配置目的地ecu中配置追加软件，步骤s401的判定结果为“否”。

在判定为如果删除低等级软件则能够配置追加软件的情况下(步骤s503：“是”)，判定是否存在成为低等级软件的移动目的地的ecu200(步骤s504)。即，判定是否存在能够重新配置低等级软件的其它ecu200。此外，在步骤s504的处理中，进行将低等级软件作为追加软件决定配置目的地ecu的处理(即图2的步骤s101～s104的处理或者图10的步骤s101至s401的处理)即可。在判定为不存在低等级软件的移动目的地的情况下(步骤s504：“否”)，判断为在配置目的地ecu中无法配置追加软件，步骤s401的判定结果为“否”。

在判定为存在低等级软件的移动目的地的情况下(步骤s504：“是”)，执行低等级软件的移动(即重新配置)(步骤s505)。由此，在配置目的地ecu中确保了配置追加软件的富余，所以步骤s401的判定结果为“是”。

<实施方式的效果>

接下来，说明通过第二实施方式的车辆用软件分配系统10得到的有益的技术效果。

如参照图10以及图11说明那样，根据第二实施方式的车辆用软件分配系统10，即使在配置目的地ecu中没有配置追加软件的富余的情况下，如果能够进行低等级软件的重新配置，则由此确保配置追加软件的富余。因此，能够将追加软件配置于更适合的ecu200中。

此外，低等级软件是软件等级值(即重要度)比追加软件低的软件，所以即使重新配置到其它ecu200中的情况下，也不会发生不合适。更准确而言，在从系统整体来看时，相比于无法将追加软件配置于配置目的地ecu所致的不合适，重新配置低等级软件所致的不合适的坏影响少。

如以上那样，根据第二实施方式的车辆用软件分配系统10，相比于第一实施方式能够更恰当地配置软件。

<第三实施方式>

接下来，说明第三实施方式的车辆用软件分配系统。此外，第三实施方式与已经说明的第一以及第二实施方式相比，只有一部分的工作不同，系统结构、其它大多部分大致相同。因此，以下，详细说明与第一或者第二实施方式不同的部分，关于其它重复的部分，适当地省略说明。

<车辆用软件分配系统的整体工作>

参照图12，说明第三实施方式的车辆用软件分配系统10的整体工作。此处，图12是示出第三实施方式的车辆用软件分配系统的工作的流程的流程图。此外，图12所示的各处理是在统一控制ecu100中执行的处理。

在图12中，在第三实施方式的车辆用软件分配系统10工作时，判定在哪一个ecu200中发生了故障(步骤s601)。此外，此处的“故障”意味着，在ecu200中配置的软件无法正常地发挥功能的程度的故障。在ecu200中未发生故障的情况下(步骤s601：“否”)，省略以后的处理，结束一连串的处理。

当在ecu200中发生了故障时，如果保持原样则配置在ecu200中的软件不能正常地发挥功能。在该情况下，如果将在故障的ecu200中配置的软件拷贝到其它ecu200(即未故障的ecu200)，则能够使其正常地发挥功能。在第三实施方式中，关于该应拷贝的软件，执行步骤s602以后的处理。此外，在故障的ecu200中存在多个软件的情况下，关于多个软件分别执行步骤s602以后的处理即可。

在ecu200中发生了故障的情况下(步骤s601：“是”)，判定是否存在有能够拷贝应拷贝的软件(以下适当地称为“拷贝软件”)的富余的ecu200(步骤s602)。即，与第一实施方式的步骤s102(参照图2)同样地，判定是否存在存储器容量以及处理负荷有富余的ecu200。此外，在判定为存在能够拷贝拷贝软件的ecu200的情况下(步骤s602：“是”)，针对该有富余的ecu200，实施拷贝软件的拷贝(步骤s609)。

在判定为不存在能够拷贝拷贝软件的ecu200的情况下(步骤s602：“否”)，判定拷贝软件的软件等级值是否为2以上(步骤s603)。然后，在判定为拷贝软件的软件等级值小于2的情况下(步骤s603：“否”)，判断为不实施拷贝软件的拷贝(步骤s610)。即，软件等级值极其低，所以判断为即使不拷贝拷贝软件(即，即使不使其正常地发挥功能)也不产生不合适。

在判定为拷贝软件的软件等级值是2以上的情况下(步骤s603：“是”)，判定是否存在与用于配置拷贝软件的条件匹配的ecu200(步骤s604)。即，与第一实施方式的步骤s103的处理(参照图3)同样地，执行与等级值有关的匹配处理。另外，也可以除了与等级值有关的匹配处理以外，还进行在图6中说明那样的与结合条件有关的匹配处理。在不存在与用于配置拷贝软件的条件匹配的ecu200的情况下(步骤s604：“否”)，能够判断为不存在能够配置拷贝软件的ecu200。其结果，判断为不实施拷贝软件的拷贝(步骤s610)。

在存在与用于配置拷贝软件的条件匹配的ecu200的情况下(步骤s604：“是”)，判定在与条件匹配的ecu200中的哪一个中存在软件等级值比拷贝软件低的低等级软件(步骤s605)。在与条件匹配的ecu200中不存在低等级软件的情况下(步骤s605：“否”)，能够判断为不存在能够配置拷贝软件的ecu200。其结果，判断为不实施拷贝软件的拷贝(步骤s610)。

在与条件匹配的ecu200中存在低等级软件的情况下(步骤s605：“是”)，判定能否通过从与条件匹配的ecu200删除低等级软件来配置拷贝软件(步骤s606)。即，判定能否通过低等级软件的删除而在与条件匹配的ecu200的存储器容量以及处理负荷中确保富余。此外，在与条件匹配的ecu200中存在多个低等级软件的情况下，判定能否通过删除它们全部来配置拷贝软件即可。在判定为即使删除低等级软件也无法配置拷贝软件的情况下(步骤s606：“否”)，能够判断为不存在能够配置拷贝软件的ecu200。其结果，判断为不实施拷贝软件的拷贝(步骤s610)。

在判定为如果删除低等级软件则能够配置拷贝软件的情况下(步骤s606：“是”)，判定系统的用户是否同意低等级软件的删除(步骤s607)。关于该同意确认，既可以在该时间点进行，也可以事先(例如在配置时)进行。在系统的用户不同意低等级软件的删除的情况下(步骤s607：“否”)，能够判断为不存在能够配置拷贝软件的ecu200。其结果，判断为不实施拷贝软件的拷贝(步骤s610)。

在系统的用户同意低等级软件的删除的情况下(步骤s607：“是”)，执行低等级软件的删除(步骤s608)。此外，关于被删除的低等级软件，也可以如在第二实施方式中说明那样重新配置到其它ecu200中。当完成低等级软件的删除时，在删除后的ecu200中实施拷贝软件的拷贝(步骤s609)。

在实施拷贝软件的拷贝之后或者判断为不实施拷贝之后，判定是否关于所有拷贝软件(即在故障的ecu200中配置的所有软件)完成上述步骤s602以后的处理(步骤s611)。在未关于所有拷贝软件完成步骤s602以后的处理的情况下(步骤s611：“否”)，关于其它未完成的软件，执行步骤s602以后的处理。在关于所有拷贝软件完成了步骤s602以后的处理的情况下(步骤s611：“是”)，结束第三实施方式的利用车辆用软件分配系统10进行的一连串的处理。

<实施方式的效果>

最后，说明通过第三实施方式的车辆用软件分配系统10得到的有益的技术效果。

如参照图12说明那样，根据第三实施方式的车辆用软件分配系统10，即使在ecu200中发生故障，无法正常地发挥软件的功能的情况下，也能够通过将在故障的ecu200中配置的软件拷贝到其它正常的ecu200，从而恢复正常的功能。

另外，在拷贝在故障的ecu200中配置的软件时，与第一实施方式以及第二实施方式同样地，判定是否为与各种条件匹配的ecu200。因此，能够防止将软件拷贝到不适合的ecu200中。进而，与第二实施方式同样地，还判定能否删除低等级软件，所以能够将软件拷贝到更适合的ecu。

本发明不限于上述实施方式，能够在不违反从说明书整体读取的发明的要旨或者思想的范围内适当地变更，伴随这样的变更的车辆用软件分配系统也包含于本发明的技术范围内。

例如，在上述实施方式中，搭载于车辆的统一控制ecu100进行了软件的分配，但也可以由车外的服务器600进行软件的分配。