程序更新装置、程序更新系统及程序更新方法与流程

本发明涉及程序更新装置、程序更新系统及程序更新方法。

背景技术：

在当前的车辆中，将进行基于所存储的控制程序的处理的多个ecu(electroniccontrolunit：电子控制单元)用作车载控制装置，并且该多个ecu互相协作而实现多种功能。即使在一部分软件中出现缺陷等的问题的情况下，由于可能会对车载控制系统整体造成影响，因此希望尽快地做成向修正了所发现的问题的新的版本的程序更新。

以往的程序更新采取如下对策：经销商的专业技术人员将所谓的扫描工具终端连接于露出了诊断终端的车载设备，并从扫描工具终端经由该车载设备将更新程序向车载网络传入等。然而在该对策中，每次更新程序，用户都必须将车辆带到经销商处，另外在经销商侧，由于无法对多台车辆同时应对，因此无法适当地进行更新。

因此，提出有通过由无线将更新程序从服务器向各车辆分发的所谓的ota(overtheair：空中传输)更新，不会对用户造成负担，可尽快地进行程序更新(专利文献1)。

现有技术文献

专利文献

专利文献1：日本特开2006-143049号公报

技术实现要素：

发明所要解决的课题

虽然在通过无线进行的更新程序的接收之后能够随时更新，但是程序更新如果未在行驶中而在车辆不可驾驶的状态下进行可能会有危险。因此停车或泊车并在点火关闭状态下接受来自蓄电池的供电而更新程序。然而由于程序更新可能会消耗电力，因此可能会消耗蓄电池的电力并发生蓄电池电量耗尽。

在专利文献1中，在车辆停在了用户的自家停车场或者单位停车场等规定场所的情况下，向用户通知保持将点火开关钥匙插入于气缸的状态(点火启动状态)下车，在下车及确认车门上锁之后进行程序更新。并且在专利文献1中，当更新完成时保持点火启动状态向用户的便携终端以返回到车辆的方式发出通知，并根据来自便携终端的响应给车门开锁。在此为用户对点火开关钥匙进行操作而成为点火关闭状态。

在如专利文献1那样为了成为点火启动状态且不可驾驶的状态而使用户下车，或者为了成为点火关闭状态而使用户返回的需要用户的动作的方案中，在频繁地进行更新的情况下感到对用户造成不便。

本发明的目的在于提供一种程序更新装置、程序更新系统及程序更新方法，不会对用户造成负担，安全且可靠地实现程序更新的执行。

用于解决课题的技术方案

本发明的一种方式的程序更新装置具备在与基于软件程序进行动作的车载装置之间收发信息的通信部，并从该通信部接收针对所述软件程序的更新信息而执行更新处理，其中所述程序更新装置具备：判别部，判别车辆的操作开关是否已从接通状态向断开状态切换；状态控制部，在由该判别部判别为已向断开状态切换的情况下，指示向所述车辆的行驶禁止状态的转移及所述车辆的点火启动状态的维持；及更新处理部，在确认了根据来自该状态控制部的指示而所述车辆已向行驶禁止状态转移且维持了点火启动状态之后，基于所述更新信息开始更新处理。

本发明的一种方式的程序更新装置，在通过所述更新处理部确认了更新处理已完成的情况下，所述状态控制部解除向所述车辆的行驶禁止状态的转移，并解除点火启动状态的维持。

本发明的一种方式的程序更新装置，在解除了点火启动状态的维持时，在所述操作开关处于断开状态的情况下，所述判别部使所述车辆向点火关闭状态切换。

本发明的一种方式的程序更新装置，所述状态控制部指示向所述车辆的行驶禁止状态的转移及所述车辆的点火启动状态的维持，并且指示所述车辆的换气。

本发明的一种方式的程序更新装置还具备检测装置，该检测装置检测所述车辆的车室内空气中的有毒成分，在由该检测装置检测到有毒成分为规定浓度以上的情况下，所述更新处理部中断更新处理，解除向所述车辆的行驶禁止状态的转移并解除点火启动状态的维持。

本发明的一种方式的程序更新系统，包括：多个车载装置，基于软件程序进行动作；行驶控制装置，对车辆的行驶进行控制；电源控制装置，进行来自车载电源的电力的分配处理；及程序更新装置，具备在与所述车载装置、行驶控制装置及电源控制装置之间收发信息的通信部，并从该通信部发送针对所述软件程序的更新信息而执行更新处理，其中，所述程序更新装置具备：判别部，判别所述车辆的操作开关是否已从接通状态向断开状态切换；状态控制部，在由该判别部判别为已向断开状态切换的情况下，从所述通信部向所述行驶控制装置发送向所述车辆的行驶禁止状态转移的指示，并向所述电源控制装置发送维持所述车辆的点火启动状态的指示；及更新处理部，在从所述行驶控制装置接收到向行驶禁止状态的转移完成通知并且从所述电源控制装置接收到点火启动状态的维持完成通知的情况下，基于所述更新信息开始更新处理。

本发明的一种方式的程序更新方法，是如下的程序更新系统，通过包括基于软件程序进行动作的多个车载装置、对车辆的行驶进行控制的行驶控制装置、进行来自车载电源的电力的分配处理的电源控制装置及具备在与所述车载装置、行驶控制装置及电源控制装置之间收发信息的通信部的程序更新装置的系统，向所述车载装置发送针对所述软件程序的更新信息而执行更新处理，其中，所述程序更新方法包括以下处理：所述程序更新装置判别所述车辆的操作开关是否已从接通状态向断开状态切换；所述程序更新装置在判别为已向断开状态切换的情况下，从所述通信部向所述行驶控制装置发送向所述车辆的行驶禁止状态转移的指示，并向所述电源控制装置发送维持所述车辆的点火启动状态的指示；所述行驶控制装置在接收到向所述行驶禁止状态转移的指示的情况下，使所述车辆的行驶成为禁止状态，并向所述程序更新装置发送转移完成通知；所述电源控制装置在接收到维持点火启动状态的指示的情况下，无论所述车辆的操作开关的状态如何都维持点火启动状态，并向所述程序更新装置发送维持完成通知；以及所述程序更新装置在从所述行驶控制装置接收到所述转移完成通知且从所述电源控制装置接收到所述维持完成通知的情况下，基于所述更新信息开始更新处理。

在本发明的一种方式中，在车辆的操作开关被向断开状态切换而成为了更新定时的情况下，无论是否处于断开状态都维持点火启动状态，并且在禁止了行驶的状态下执行程序的更新。由此能够安全地、不从蓄电池而从驱动引擎确保充足的电源而可靠地执行程序更新。

在本发明的一种方式中，在维持点火启动状态且同时也禁止了行驶的状态下的程序的更新完成之后，将行驶禁止状态及点火启动状态维持双方解除。如果开关为断开状态则向点火关闭状态转移，如果开关为辅助电源接通则向辅助启动状态转移。

在本发明的一种方式中，在程序更新完成后，如果开关为断开状态则自动向点火关闭状态转移。由此，无用户的操作而在程序更新完成后自动地向点火关闭状态转移。

在本发明的一种方式中，由于在程序更新中为点火启动状态，因此为了避免车辆成为密闭空间而控制成进行换气。

在本发明的一种方式中，在程序更新中检测到有毒成分为规定浓度以上的情况下中断更新处理，并将行驶禁止状态及点火启动状态维持双方解除。由于在向行驶禁止状态及点火启动状态转移而进行程序更新的过程中，用户也可能留在车室内，因此避免例如在车室内休息的情况等之下处于危险的状态。

此外本申请不仅能够实现为具备像这样的特征性的各结构部的车辆用的程序更新装置，还能够实现为使计算机执行这些特征性的步骤的更新处理程序及存储有该程序的存储介质。还能够实现为将程序更新装置的结构部的一部分或者全部实现的半导体集成电路，或者实现为包含使用了程序更新装置的程序更新系统在内的其他系统。

发明效果

根据上述内容，能够不对用户造成负担，安全且可靠地实现程序更新的执行。

附图说明

图1是示出实施方式1的程序更新系统的结构的框图。

图2是示出程序更新装置的内部结构的框图。

图3是程序更新装置的功能框图。

图4是示出由程序更新装置进行的程序更新的处理步骤的一例的流程图。

图5是示出由程序更新装置进行的程序更新的处理步骤的一例的流程图。

图6是示出实施方式2的程序更新系统的结构的框图。

图7是示出由实施方式2的程序更新装置进行的处理步骤的一例的流程图。

图8是示出由实施方式2的程序更新装置进行的处理步骤的一例的流程图。

具体实施方式

以下参照附图对本发明的实施方式的车载通信装置的具体例进行说明。此外，本发明不限定于这些例示，而是由权利要求书的范围所示，旨在包含与权利要求书的范围均等的含义及范围内的所有的变更。

(实施方式1)

图1是示出实施方式1的程序更新系统100的结构的框图。程序更新系统100包括配置于车辆v内的各处并执行各种控制处理的多个ecu1、控制各ecu1的程序更新的程序更新装置2及进行无线通信的无线通信装置3。多个ecu1与程序更新装置2例如经由作为can(controlareanetwork：控制局域网)总线的通信总线4以能够通信的方式连接。程序更新装置2与无线通信装置3经由通信线5以能够通信的方式连接，无线通信装置3通过无线能够与作为外部装置的程序管理服务器6通信。

多个ecu1包括电源控制ecu1a、行驶控制ecu1b及对监视器8等车载设备进行控制的ecu1c。自不必说，还包括其他的多种ecu1。

电源控制ecu1a与点火开关钥匙的锁芯或者作为on/off开关的ig(ignition：点火)开关7连接，检测车辆v的用户的钥匙操作。电源控制ecu1a也可以与蓄电池及交流发电机等电源连接，实现电力分配的高效化处理等。另外，电源控制ecu1a也可以是收集来自门控开关等车身系统的各传感器的信息而对门锁、车灯等车身系统的执行元件的动作进行控制的bcm(bodycontrolmodule：车身控制模块)。

行驶控制ecu1b是向基于经由通信总线4得到的信息进行车辆v的驾驶控制的装置输出指示的装置。行驶控制ecu1b向其对象装置通知ig开关7的状态、通知禁止驾驶、输出使制动控制工作的指示或者输出适当地变更转向角的指示。

ecu1c是基于经由通信总线4得到的信息向监视器8显示信息、并检测用户对于所显示的信息的操作的装置。监视器8例如使用内置有触摸面板的显示器。在该情况下ecu1c也可以是导航ecu。另外监视器8也可以是hud(headupdisplay：平视显示器)。在该情况下ecu1c从分别设置于仪表板或者转向柱等的操作按钮检测用户的操作即可。

程序更新装置2是进行将利用无线通信装置3从程序管理服务器6接收到的更新程序以作为对象的多个ecu1中的任一个为目的地而向通信总线4送出的处理的装置。此外程序更新装置2还与未图示的其他的通信总线连接，也可以是在不同的通信介质(通信总线4、其他的通信总线及通信线5)间中继信息的网关装置。

图2是示出程序更新装置2的内部结构的框图，图3是程序更新装置2的功能框图。程序更新装置2具备控制部20、存储部21、暂时存储部22、第一通信部23及第二通信部24。控制部20使用cpu(centralprocessingunit：中央处理器)或者mpu(microprocessingunit：微处理器)等运算处理装置。控制部20通过读取并执行存储于存储部21的更新处理程序2p发挥作为判别部201、状态控制部202及更新处理部203的功能。关于各功能稍后叙述。

存储部21使用闪存等非易失性存储器，除了存储控制部20执行的更新处理程序2p、在装置作为网关发挥功能的情况下对应的控制程序以外，还存储在处理时参照的各种信息。更新处理程序2p及控制程序也可以存储于内置于控制部20的rom等。另外可根据需要在存储部21存储多个经由无线通信装置3从程序管理服务器6接收到的更新程序1p。

暂时存储部22使用dram(dynamicrandomaccessmemory：动态随机存储器)等易失性存储器，暂时性地存储通过控制部20的处理而生成的信息。

第一通信部23使用can控制器及can收发器，实现在连接多个ecu1的通信总线4上的信息的收发。第二通信部24基于与经由通信线5的无线通信装置3之间的通信协议实现信息的收发。

如图3所示，在像这样构成的程序更新系统100中，程序更新装置2的控制部20与各结构部协作而发挥作为判别部201、状态控制部202及更新处理部203的功能。判别部201是判别是否为进行更新的定时的功能。控制部20例如作为判别部201判别更新程序1p存在吗、该更新程序1p完成接收了吗、还需要更新吗或者处于更新处理中吗等状态，并根据判别出的状态向状态控制部202及更新处理部203指示处理。状态控制部202接受来自判别部201的指示而存储转移的状态，并根据该状态向包括电源控制ecu1a及行驶控制ecu1b的相关的ecu1输出动作的指示。更新处理部203接受来自判别部201的指示并执行将存储部21中已完成接收的更新程序1p向对象ecu1实际发送的处理。

图4及图5是示出由程序更新装置2进行的程序更新的处理步骤的一例的流程图。控制部20在车辆v处于点火启动状态(启动状态)的情况下执行以下的处理。控制部20从程序管理服务器6由第二通信部24接收更新程序1p(步骤s101)，并对接收到的更新程序1p判断是否从程序管理服务器6接收到更新要求(步骤s102)。在判断为未接收到的情况下(s102：否)，控制部20将处理返回步骤s102，并待机直到判断为接收到为止。步骤s101的更新程序1p的接收在控制部20利用第二通信部24定期地与程序管理服务器6通信并确认更新的有无后进行即可。

在步骤s102中判断为接收到的情况下(s102：是)，控制部20通知更新程序的存在，并将使询问能否更新的画面显示的指示从第一通信部23发送到ecu1c(步骤s103)。控制部20判断是否从ecu1c得到“能”的响应(步骤s104)，在判断为没有得到“能”的响应的情况下(s104：否)，结束处理。没有得到“能”的响应的情况是指，经过了作为响应所需要的缓期时间的规定时间，或者得到“否”的响应的情况，在该情况下，控制部20在经过了考虑了处于驾驶中的规定的期间之后，再次使询问能否更新的画面显示即可。

在步骤s104中判断为得到“能”的响应的情况下(s104：是)，控制部20作为判别部201判别ig开关7是否已向断开状态切换(步骤s105)。在步骤s105中，由于判别是否是进行更新的定时，因此不仅可以判别ig开关7是否已向断开状态切换的开关的状态，除此之外还可以判别车辆是否已停止、车辆v的停车预定时间对于完成更新是否充分。在实施方式1中，ig开关7是否已从接通状态向断开状态切换通过是否已由电源控制ecu1a通知来判别。并且在判别为未向断开状态切换的情况下(s105：否)，控制部20将处理返回步骤s105，并待机直到判别为已向断开状态切换为止。

在判别为已向断开状态切换的情况下(s105：是)，控制部20利用判别部201的功能使程序更新系统100的状态为更新模式，并向状态控制部202指示向更新模式的转移(步骤s106)。

控制部20利用状态控制部202的功能，将即使ig开关7为断开状态也成为点火启动状态，即，使驱动引擎或者驱动电动机保持启动(更新模式)的指示从第一通信部23发送到电源控制ecu1a(步骤s107)。在该情况下电源控制ecu1a中限制成ig开关7的状态不发生变化即可。另外控制部20利用状态控制部202的功能将禁止行驶(更新模式)的指示从第一通信部23发送到行驶控制ecu1b(步骤s108)。由此，在维持车辆v的驱动引擎或者驱动电动机启动的同时禁止行驶。控制部20将使通知处于更新中的画面显示的指示发送到控制监视器8的ecu1c即可(步骤s109)。在通知处于更新中的画面中优选显示不能进行ig开关7的操作及其他车载设备的操作的意思的消息。

接下来控制部20利用状态控制部202的功能，当从电源控制ecu1a及行驶控制ecu1b两者接受到状态的转移是否已完成的响应时(步骤s110)，向判别部201通知向更新模式的转移已完成(步骤s111)。

控制部20通过判别部201的处理，在确认向更新模式的转移的完成之后，向更新处理部203指示开始更新处理(步骤s112)。

控制部20利用更新处理部203的功能，读取存储于存储部21的一个或多个更新程序1p(步骤s113)，将更新指示与更新程序1p一并从第一通信部23发送到与更新程序1p对应的更新对象的ecu1(步骤s114)。由此，在对象ecu1中基于更新指示而进行基于一并接收到的更新程序1p的更新。该更新如上所述，由于在维持车辆v的驱动引擎或者驱动电动机启动同时禁止行驶的状态下执行，因此不会消耗蓄电池电量，且用户仍可留在车内。当更新结束时，对象ecu1向程序更新装置2发送更新的完成通知。

控制部20利用更新处理部203的功能，判断是否接收到更新的完成通知(步骤s115)，在判断为未接收到的情况下(s115：否)，将处理返回步骤s115并待机直到判断为接收到为止。在步骤s115中判断为接收到的情况下(s115：是)，控制部20向判别部201通知更新完成(步骤s116)。

控制部20利用判别部201的功能，当确认更新完成时使程序更新系统100的状态成为非更新模式，向状态控制部202指示向非更新模式的转移(步骤s117)。

控制部20利用状态控制部202的功能，解除点火启动状态的维持，并根据ig开关7的状态将使驱动引擎或者驱动电动机工作的(非更新(通常)模式)指示从第一通信部23发送到电源控制ecu1a(步骤s118)。另外控制部20利用状态控制部202的功能，解除行驶禁止状态，并根据ig开关7的状态将可行驶的(非更新(通常)模式)指示从第一通信部23发送到行驶控制ecu1b(步骤s119)。由此，车辆v的驱动引擎或者驱动电动机根据ig开关7的状态由电源控制ecu1a进行控制。由于ig开关7在步骤s105中保持断开状态且应该未被操作，因此驱动引擎或者驱动电动机停止并成为点火关闭状态，处理结束。

此外更新完成之后，当接下来ig开关7从断开状态变为接通状态而程序更新装置2启动时，控制部20将使通知更新已完成的画面显示的指示发送到对监视器8进行控制的ecu1c即可。

这样一来，在用户将ig开关7向断开状态操作而判断为处于更新定时之后，维持点火启动状态，在禁止行驶的状态下由更新程序1p执行程序的更新。由此能够安全地、不由蓄电池而由驱动引擎确保充足的电源而可靠地执行程序更新。由于在通过行驶控制ecu1b确认禁止了行驶(已向更新模式转移)之后执行更新，因此也无需强制性地使用户下车。即使留在车室内的用户在更新模式中误对齿轮箱、油门等进行了操作，车辆v也不会行驶。另外，用户在使车辆v泊车并进行了使ig开关7为断开的操作之后，保持点火启动并下车，对门锁上锁从该处离开即可。在此期间由于在更新进行并完成之后自动地向点火关闭状态转移，因此在下一次乘坐时也无需进行任何特别的操作。在像这样的本发明的程序更新系统100中，除了对询问能否更新程序进行操作以外，用户也无需意识到程序更新。此外通过询问能否更新程序，能够防止用户在进行了将ig开关7断开的操作之后，对维持车辆v的点火启动状态感到违和或者误认为是故障。

(实施方式2)

图6是示出实施方式2的程序更新系统100的结构的框图。在实施方式2的程序更新系统100中，除了在连接于通信总线4的一个ecu1上连接气体检测装置9及与此对应地如下地说明的处理内容以外，与实施方式1的结构相同。因此对共同的结构附以相同的标号而省略详细的说明。

气体检测装置9具有对车室内的有毒气体(一氧化碳)的浓度进行检测的传感器，并将其检测结果向ecu1输出。

图7及图8是示出由实施方式2的程序更新装置2进行的处理步骤的一例的流程图。此外在图7及图8的流程图中示出的处理步骤之中，对与在实施方式1的图4及图5的流程图中已示出的处理步骤相同的步骤附以相同的步骤编号而省略详细的说明。

在实施方式2中，控制部20利用状态控制部202的功能，在做出成为更新模式的指示时(s107、s108)，同样地对空气调节用的ecu1指示不必须进行温度调整但要进行换气(步骤s201)。接下来控制部20将使处于更新中显示于画面的指示从第一通信部23发送到ecu1c(s109)。

接下来当控制部20将更新程序1p从第一通信部23发送出并使更新开始时，判断是否未从对应的ecu1接收到由气体检测装置9检测到有毒成分(规定浓度以上的一氧化碳)(步骤s202)。在判断为未接收到检测到有毒成分的情况下(s202：否)，控制部20使处理进入步骤s115。

在判断为接收到由气体检测装置9检测到有毒成分的情况下(s202：是)，控制部20使由更新处理部203进行的更新处理中断(步骤s203)，并向判别部201通知中断了更新(步骤s204)。

当控制部20通过判别部201确认已被中断时，将中断的日志存储于存储部21之后，使处理进入步骤s117，并指示返回非更新模式(s117)。另外控制部20解除强制性的换气(步骤s205)，并结束处理。其他的处理与实施方式1中的说明相同。

像这样在实施方式2中以对维持点火启动状态强制地进行空气调节(换气)的方式进行控制，在更新执行中在检测到有毒的气体向车室内积聚的情况下为了停止点火启动状态的维持而中断更新。由此，即使用户为了休息而留在车室内，也能更安全可靠地执行程序的更新。

另外在本实施方式中程序更新装置1的控制部10执行的更新处理程序2p能够以计算机可读取地记录于光盘或者存储卡等记录介质的方式提供。

标号说明：

1ecu(车载装置)

1a电源控制ecu

1b行驶控制ecu

2程序更新装置

20控制部

201判别部

202状态控制部

203更新处理部

21存储部

2p更新处理程序

23第一通信部

4通信总线

8监视器

9气体检测装置