控制系统、控制装置、控制程序更新方法以及非暂时性存储介质与流程

本公开涉及一种控制系统、控制装置、控制程序更新方法以及非暂时性存储介质。

背景技术：

1、已知一种包括控制系统的车辆，该控制系统包括多个控制装置。例如，用于控制被安装在车辆上的致动器的软件被安装在多个控制装置中的每一个中。在车辆被供应到市场后，例如，可以使用空中下载(ota)向车辆提供更新程序(控制程序的更新版本)。车辆能够通过使用所提供的更新程序来更新控制系统的软件。通过更新控制系统中的至少一个控制装置中的软件，车辆的功能被更新(例如，校正或添加)。关于将在多个控制装置之间被协作执行的控制(例如，诸如自主驾驶控制的驾驶辅助控制)，将由多个控制装置执行的控制程序的版本需要一致。

2、在日本未审查专利申请公开第2019-144670号(jp 2019-144670 a)中，控制系统中的各个执行单元从另一个执行单元获取将由该另一个执行单元执行的控制程序中包含的标识符。基于所获取的标识符，执行单元确定将由该另一个执行单元执行的控制程序是否已经被改变。

技术实现思路

1、通过检查将由控制装置执行的控制程序的标识符，可以检查控制装置之间是否出现软件不一致。然而，期望在软件不一致发生之前抑制软件不一致。从用户方便的观点来看，期望在多个控制装置起动时在多个控制装置中一次全部更新控制程序(软件产品)。

2、使用ota进行车辆软件更新，例如，通过包括下载(向车辆发送新软件)、安装(将新软件写入控制装置)和激活(起动被写入控制装置的新软件)的步骤进行。其新软件产品通过上述步骤已经被激活(激活的准备已经完成)的控制装置一次全部关闭，然后一次全部起动，从而将控制装置的软件产品更新为新的软件产品。

3、然而，控制装置并不总是在期望的时间一次全部关闭。由于瞬时电源故障等，只有一些控制装置可能在激活完成之前关闭。在这种情况下，没有完成激活的控制装置在起动后执行更新前软件产品，并且已经完成激活的其他控制装置执行新软件产品(更新的软件产品)。在这种情况下，控制装置之间可能出现软件不一致。

4、本公开提供了一种控制系统、控制装置、控制程序更新方法和非暂时性存储介质，其在多个控制装置中的软件产品被更新时抑制多个控制装置之间的软件不一致。

5、根据本公开的第一方案的控制系统包括多个控制装置。所述多个控制装置中的每一个包括多个存储区域。所述多个控制装置中的每一个被配置为执行存储在所述多个存储区域中的、被设定为执行存储区域的任一存储区域中的控制程序。所述多个控制装置中的每一个被配置为在所述控制程序的更新版本已经被安装在所述多个控制装置中的每一个的写入面上的状态下，当所述多个控制装置中的每一个更新所述控制程序时，执行切换准备。所述写入面是除了被设定为所述执行存储区域的所述存储区域之外的所述存储区域。所述切换准备是切换所述执行存储区域的设定的准备。所述多个控制装置中的每一个被配置为当全部所述多个控制装置已经完成所述切换准备时，进行关闭。所述多个控制装置中的每一个被配置为在全部所述多个控制装置中所述切换准备已经完成的状态下，当全部所述多个控制装置关闭时，在下一次起动时将所述写入面设定为所述执行存储区域。

6、下文中，执行存储区域也将称为“活动面”。安装了存储在执行存储区域中的控制程序的更新版本的存储区域也将被称为“写入面”。

7、在控制系统中与激活相关的处理中，与活动面的切换的准备相关的处理在关闭前被执行，并且与活动面的切换相关的处理在关闭后的起动时被执行。为了更新软件(控制程序)，在安装新软件(控制程序的更新版本)之后，需要准备活动面的切换(即，准备将写入面设定为活动面)。在与切换准备相关的处理中，控制装置进入切换就绪状态(即，即使当活动面从当前设定为活动面的存储区域切换到写入面时，控制装置也正常运行的状态)。在处于切换就绪状态的控制装置中，没有将由更新前控制程序执行的剩余任务，并且更新前控制程序的执行是不必要的。因此，处于切换就绪状态的控制装置可以通过在关闭之后的下一次起动时简单地切换活动面(将写入面设定为活动面)来平滑地更新软件。

8、在控制系统中，当全部控制装置在切换就绪状态下关闭时，控制装置在下一次起动时切换活动面。在紧接起动之后的短时间内(活动面被切换的期间)，任一控制装置都不太可能由于瞬时电源故障等而被关闭。因此，利用该控制系统，当在多个控制装置中更新软件产品时，可以抑制控制装置之间的软件不一致。

9、根据第一方案的控制系统可以具有下述任一配置。

10、在根据本公开的第一方案的控制系统中，全部所述多个控制装置可以被配置为，在所述多个控制装置中的至少一个控制装置中所述切换准备完成之前，当所述多个控制装置中的所述至少一个控制装置关闭时，在所述下一次起动时不切换所述执行存储区域的所述设定。

11、切换准备倾向于需要比用于活动面的切换更长的时间段。为此，在活动面的切换的准备期间，任一控制装置都可能由于瞬时电源故障等而关闭。在这点上，利用上述配置，当多个控制装置中的至少一个控制装置在进入切换就绪状态之前由于瞬时电源故障等而关闭时，全部多个控制装置在下一次起动时不切换活动面。因此，在多个控制装置之间不太可能发生软件不一致。

12、在根据本公开的第一方案的控制系统中，所述多个控制装置中的每一个可以被配置为，当所述多个控制装置中的每一个已经完成所述切换准备时，发送指示所述切换准备已经完成的准备完成信号。所述控制装置可以被配置为通过环形通信相互交换所述准备完成信号。

13、利用上述配置，多个控制装置中的一个控制装置基于从其他控制装置接收到的准备完成信号，可以掌握其他控制装置进入切换就绪状态。环形通信使得更容易地抑制控制装置之间的通信紧密性。

14、在根据本公开的第一方案的控制系统中，所述多个控制装置中的每一个可以被配置为，当所述多个控制装置中的每一个已经完成所述切换准备时，发送指示所述切换准备已经完成的准备完成信号。所述多个控制装置中可以被配置为通过星形通信相互交换所述准备完成信号。

15、利用上述配置，多个控制装置中的预定控制装置基于从其他控制装置接收到的准备完成信号，可以掌握其他控制装置进入切换就绪状态。其他控制装置可以通过星形通信直接向预定控制装置发送准备完成信号。这使得预定控制装置更容易地快速掌握其他控制装置的状态。

16、在根据本公开的第一方案的控制系统中，所述多个控制装置可以包括第一控制装置、第二控制装置和第三控制装置。所述第一控制装置可以被配置为接收来自用户的关闭请求。所述第一控制装置可以被配置为，在所述第一控制装置接收到所述关闭请求的时刻，当所述控制程序的所述更新版本被安装在全部所述第一控制装置、所述第二控制装置和所述第三控制装置中时，向所述第二控制装置和所述第三控制装置中的每一个发送切换指令。所述第一控制装置可以被配置为在发送所述切换指令之后，开始所述切换准备。所述第二控制装置和第三控制装置中的每一个可以被配置为当接收到所述切换指令时开始所述切换准备。

17、利用上述配置，响应于来自用户的请求，起动与活动面的切换的准备相关的处理。因此，软件更新处理可以在不损害用户便利性的时刻容易地被执行。

18、在根据本公开的第一方案的控制系统中，所述第一控制装置可以被配置为，在所述控制程序的所述更新版本没有被安装在所述第二控制装置或所述第三控制装置中的状态下，当所述第一控制装置更新所述控制程序时，确定所述控制程序的所述更新版本被安装在所述第二控制装置和所述第三控制装置中的哪一个中。所述第一控制装置可以被配置为向所述第一控制装置确定其中安装了所述控制程序的所述更新版本的控制装置发送所述切换指令。所述第一控制装置可以被配置为不向所述第一控制装置确定其中没有安装所述控制程序的所述更新版本的控制装置发送所述切换指令。

19、通过上述配置，不向未安装新软件的控制装置发送切换指令。因此，抑制了不必要的通信。

20、在根据本公开的第一方案的控制系统中，所述多个控制装置中的每一个可以被配置为控制车辆。所述车辆可以包括用于所述用户起动车辆系统的起动开关。所述第一控制装置可以被配置为响应于所述用户断开所述起动开关的操作而接收所述关闭请求的输入。所述多个控制装置中的每一个可以被配置为响应于所述用户接通所述起动开关的操作而起动。

21、利用上述配置，响应于用户对车辆的起动开关的操作，起动与活动面的切换的准备相关的处理，并在关闭后起动各个控制装置。因此，软件更新处理可以在不损害用户便利性的时刻容易地被执行。

22、车辆可以是全部或部分利用电力作为动力源的电动车(xev)。xev包括纯电动汽车(bev)、插电式混合动力车(phev)、混合动力车(hev)、燃料电池电动汽车(fcev)等。

23、根据本公开的第二方案的控制装置包括存储单元，其包括多个存储区域，设定单元，其被配置为将所述多个存储区域中的任一存储区域设定为执行存储区域，执行单元，其被配置为执行存储在所述多个存储区域中的、被设定为所述执行存储区域的所述任一存储区域中的控制程序，以及写入单元，其被配置为在写入面上安装作为所述控制程序的更新版本的更新程序。所述写入面是除了被设定为所述执行存储区域的所述存储区域之外的所述存储区域。所述存储区域包括第一存储区域和第二存储区域。在所述第一存储区域被设定为所述执行存储区域并且所述更新程序被安装在被设定为所述写入面的所述第二存储区域中的状态下，当包括所述控制装置的多个控制装置中的每一个更新所述控制程序时，所述设定单元被配置为执行切换准备，并且所述控制装置被配置为当全部所述多个控制装置已经完成所述切换准备时进行关闭。所述切换准备是将所述执行存储区域切换到所述第二存储区域的准备。所述设定单元被配置为在所述切换准备已经完成的状态下关闭的所述控制装置的下一次起动时，将所述执行存储区域从所述第一存储区域切换到所述第二存储区域。

24、在上述控制装置和控制系统中，当在多个控制装置中更新软件产品时，可以抑制控制装置中的软件不一致。

25、根据本公开的第三方案的控制程序更新方法包括在多个控制装置中的每一个的写入面中安装控制程序的更新版本，所述控制程序存储在所述多个控制装置中的每一个的多个存储区域中的、被设定为执行存储区域的任一存储区域中。所述写入面是除了被设定为所述执行存储区域的所述存储区域之外的所述存储区域。所述控制程序更新方法包括由其中已经安装了所述控制程序的所述更新版本的所述多个控制装置中的每一个执行切换准备。所述切换准备是切换所述执行存储区域的设定的准备。所述控制程序更新方法包括当全部所述多个控制装置已经完成所述切换准备时，关闭全部所述多个控制装置。所述控制程序更新方法包括由在所述切换准备已经完成的状态下关闭的全部所述多个控制装置在下一次起动时将所述写入面设定为所述执行存储区域。

26、在上述控制程序更新方法和控制系统中，当在多个控制装置中更新软件产品时，可以抑制控制装置中的软件不一致。

27、根据本公开的第四方案的非暂时性存储介质存储用于使计算机执行根据本公开的第三方案的控制程序更新方法的功能。某一实施例提供了一种计算机装置，其包括存储上述程序的存储装置和执行存储在存储装置中的程序的处理器。另一个实施例提供了分发程序的计算机装置。

28、根据本公开，当在多个控制装置中更新软件产品时，可以抑制控制装置中的软件不一致。