特表 2024-543554 アップグレード方法および装置、ならびに電子デバイス

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-11-21

(54)【発明の名称】アップグレード方法および装置、ならびに電子デバイス

(51)【国際特許分類】

   G06F 8/65 20180101AFI20241114BHJP

   G06F 11/07 20060101ALI20241114BHJP

   B60R 16/02 20060101ALI20241114BHJP

【ＦＩ】

G06F8/65

G06F11/07 140R

B60R16/02 660U

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2024531373

(86)(22)【出願日】2021-11-25

(85)【翻訳文提出日】2024-07-04

(86)【国際出願番号】 CN2021133096

(87)【国際公開番号】W WO2023092382

(87)【国際公開日】2023-06-01

(81)【指定国・地域】

(71)【出願人】

【識別番号】503433420

【氏名又は名称】華為技術有限公司

【氏名又は名称原語表記】ＨＵＡＷＥＩ ＴＥＣＨＮＯＬＯＧＩＥＳ ＣＯ．，ＬＴＤ．

【住所又は居所原語表記】Ｈｕａｗｅｉ Ａｄｍｉｎｉｓｔｒａｔｉｏｎ Ｂｕｉｌｄｉｎｇ， Ｂａｎｔｉａｎ， Ｌｏｎｇｇａｎｇ Ｄｉｓｔｒｉｃｔ， Ｓｈｅｎｚｈｅｎ， Ｇｕａｎｇｄｏｎｇ ５１８１２９， Ｐ．Ｒ． Ｃｈｉｎａ

(74)【代理人】

【識別番号】100110364

【弁理士】

【氏名又は名称】実広 信哉

(74)【代理人】

【識別番号】100133569

【弁理士】

【氏名又は名称】野村 進

(72)【発明者】

【氏名】▲張▼ 衡

【テーマコード（参考）】

5B042

5B376

【Ｆターム（参考）】

5B042GB08

5B042KK13

5B376CA44

5B376CA61

5B376GA07

(57)【要約】

本出願の実施形態は、アップグレード方法および装置、ならびに電子デバイスを提供し、車両のインターネット技術の分野に関する。本方法は、車載構成要素のソフトウェア機能が故障しているときにサーバが第1の命令を取得し、第1の命令は、車載構成要素のアップグレード戦略を示すために使用され、アップグレード戦略は、車載構成要素のソフトウェア機能ステータスに関連付けられる。サーバは、第1の命令に応答して、アップグレードタスクのタスク情報を送信し、タスク情報は、アップグレード戦略に関する情報を含み、アップグレード戦略に関する情報は、アップグレードされる車載構成要素を示すために使用される。これに対応して、アップグレードタスクのタスク情報を受信した後、車両は、アップグレード戦略に基づいて車載構成要素をアップグレードし得る。本方法では、車載構成要素のアップグレード戦略は、車載構成要素のソフトウェア機能ステータスに基づいて調整され得る。このようにして、ソフトウェア機能が故障しているときに車載構成要素が依然としてアップグレードされ続けることができ、車載構成要素のアップグレードのセキュリティおよび信頼性が効果的に改善され、車両の利用不可能性が低減されることができ、それによってユーザによる車両の正常な使用が容易になる。

【特許請求の範囲】

【請求項1】

アップグレード方法であって、
車載構成要素のソフトウェア機能が故障しているときに第1の命令を取得するステップであって、前記第1の命令が前記車載構成要素のアップグレード戦略を示すために使用され、前記アップグレード戦略が前記車載構成要素のソフトウェア機能ステータスに関連付けられる、ステップと、
前記第1の命令に応答してアップグレードタスクのタスク情報を送信するステップであって、前記タスク情報が前記アップグレード戦略に関する情報を含み、前記アップグレード戦略に関する前記情報がアップグレードされる前記車載構成要素を示すために使用される、ステップと
を含む、方法。

【請求項2】

前記アップグレード戦略に関する前記情報は事前設定条件を含み、前記事前設定条件は、アップグレード前処理手順を省略するために前記車載構成要素によって使用されるか、またはアップグレード状態に直接入るために前記車載構成要素によって使用される、請求項1に記載の方法。

【請求項3】

前記方法が、
第2の命令を送信するステップであって、前記第2の命令は、車両の速度およびギア状態をチェックするように指示するために使用される、ステップ
をさらに含む、請求項1または2に記載の方法。

【請求項4】

アップグレードタスクのタスク情報を送信する前記ステップの前に、前記方法が、
リスク警告情報を表示するステップと、
前記リスク警告情報に対するユーザの第1の動作を取得するステップであって、前記第1の動作は、前記ユーザがサーバに前記アップグレードタスクの前記タスク情報を配信することを許可することを示すために使用される、ステップと
をさらに含む、請求項1から3のいずれか一項に記載の方法。

【請求項5】

前記第1の命令が、ユーザ入力に基づいて決定される、請求項1から4のいずれか一項に記載の方法。

【請求項6】

前記方法が、
第3の命令を取得するステップであって、前記第3の命令は、前記ユーザが前記サーバに前記アップグレードタスクに対応するアップグレードパッケージを配信することを許可することを示すために使用される、ステップと、
前記アップグレードパッケージを前記車両に送信するステップと
をさらに含む、請求項1から5のいずれか一項に記載の方法。

【請求項7】

前記方法が、
前記署名されたタスク情報を取得するために、前記車両の第1の証明書に基づいて前記アップグレードタスクの前記タスク情報に署名するステップであって、前記署名されたタスク情報は、前記タスク情報のセキュリティを検証するために使用される、ステップと
をさらに含む、請求項2から6のいずれか一項に記載の方法。

【請求項8】

アップグレード方法であって、
アップグレードタスクのタスク情報を受信するステップであって、前記タスク情報は、アップグレード戦略に関する情報を含み、前記アップグレード戦略に関する前記情報は、車載構成要素のソフトウェア機能ステータスと関連付けられる、ステップと、
前記アップグレード戦略に関する前記情報に基づいて前記車載構成要素をアップグレードするステップと
を含む、方法。

【請求項9】

前記アップグレード戦略に関する前記情報は事前設定条件を含み、前記事前設定条件は、アップグレード前処理手順を省略するために前記車載構成要素によって使用されるか、またはアップグレード状態に直接入るために前記車載構成要素によって使用される、請求項8に記載の方法。

【請求項10】

前記方法が、
第2の命令を受信するステップであって、前記第2の命令は、車両の速度およびギア状態をチェックするように指示するために使用される、ステップ
をさらに含む、請求項8または9に記載の方法。

【請求項11】

前記アップグレード戦略に関する前記情報に基づいて前記車載構成要素をアップグレードする前記ステップは、
前記アップグレードタスクに対応するアップグレードパッケージを受信し、
前記アップグレード戦略および前記アップグレードパッケージに関する前記情報に基づいて前記車載構成要素をアップグレードするステップ
を含む、請求項8から10のいずれか一項に記載の方法。

【請求項12】

前記アップグレード戦略に関する前記情報に基づいて前記車載構成要素をアップグレードする前記ステップは、
前記アップグレード戦略および前記車両のローカルアップグレードパッケージに関する前記情報に基づいて前記車載構成要素をアップグレードするステップ
を含む、請求項8から10のいずれか一項に記載の方法。

【請求項13】

前記アップグレード戦略に関する前記情報に基づいて前記車載構成要素をアップグレードする前記ステップの前に、前記方法は、
前記車両の第1の証明書に基づいて前記タスク情報の署名を検証するステップと、
前記タスク情報の署名検証に成功したと決定するステップと
をさらに含む、請求項8から12のいずれか一項に記載の方法。

【請求項14】

アップグレード方法であって、
リスク警告情報を表示するステップと、
前記リスク警告情報に対するユーザの第1の動作を取得するステップであって、前記第1の動作は、前記ユーザがクラウドにアップグレードタスクのタスク情報を配信することを許可することを示すために使用される、ステップと
を含む、方法。

【請求項15】

前記リスク警告情報は第2の動作を示すために使用され、前記第2の動作は、
車両が停止状態にあると決定するステップと、
前記車両がセキュア領域にあると決定するステップと、
前記車両が未充電状態であると決定するステップと、
前記車両のドアが閉状態であると決定するステップと、
前記車両の車載診断デバイスが取り外されていることを決定するステップと
のうちの少なくとも1つを含む、請求項14に記載の方法。

【請求項16】

アップグレード装置であって、
車載構成要素のソフトウェア機能が故障しているときに第1の命令を取得するように構成された、処理モジュールであって、前記第1の命令は前記車載構成要素のアップグレード戦略を示すために使用され、前記アップグレード戦略は前記車載構成要素のソフトウェア機能ステータスに関連付けられる、処理モジュールと、
前記第1の命令に応答して前記アップグレードタスクのタスク情報を送信するように構成された、トランシーバモジュールであって、前記タスク情報は、前記アップグレード戦略に関する情報を含み、前記アップグレード戦略に関する前記情報は、アップグレードされる前記車載構成要素を示すために使用される、トランシーバモジュールと
を含む、装置。

【請求項17】

アップグレード装置であって、
アップグレードタスクのタスク情報を受信するように構成された、トランシーバモジュールであって、前記タスク情報は、アップグレード戦略に関する情報を含み、前記アップグレード戦略に関する前記情報は、車載構成要素のソフトウェア機能ステータスと関連付けられる、トランシーバモジュールと、
前記アップグレード戦略に関する前記情報に基づいて前記車載構成要素をアップグレードするように構成された、処理モジュールと
を含む、装置。

【請求項18】

リスク警告情報を表示するように構成された、表示モジュールと、
前記リスク警告情報に対するユーザの第1の動作を取得するように構成された、取得モジュールであって、前記第1の動作は、前記ユーザがサーバにアップグレードタスクのタスク情報を配信することを許可することを示すために使用される、取得モジュールと
を備える、電子デバイス。

【請求項19】

前記リスク警告情報は第2の動作を示すために使用され、前記第2の動作は、
車両が停止状態にあると決定するステップと、
前記車両がセキュア領域にあると決定するステップと、
前記車両が未充電状態であると決定するステップと、
前記車両のドアが閉状態であると決定するステップと、
前記車両の車載診断デバイスが取り外されていることを決定するステップと
のうちの少なくとも1つを含む、請求項18に記載のデバイス。

【請求項20】

メモリとプロセッサとを備える車両であって、
前記メモリは、コンピュータプログラムを記憶するように構成され、
前記プロセッサは、請求項8から13のいずれか一項に記載の方法を実施するため、前記メモリに記憶された前記コンピュータプログラムを実行するように構成される、
車両。

【請求項21】

サーバであって、前記サーバはメモリとプロセッサとを備え、
前記メモリは、コンピュータプログラムを記憶するように構成され、
前記プロセッサは、前記メモリに記憶された前記コンピューティングプログラムを実行して、請求項1から7のいずれか一項に記載の方法を実施するか、または請求項8から13のいずれか一項に記載の方法を実施するか、または請求項14から15のいずれか一項に記載の方法を実施するように構成される、サーバ。

【請求項22】

コンピュータ可読記憶媒体であって、前記コンピュータ可読記憶媒体は命令を記憶し、前記命令が実行されるとき、請求項1から7、8から13、または14から15のいずれか一項に記載の方法が実行される、コンピュータ可読記憶媒体。

【発明の詳細な説明】

【技術分野】

【0001】

本出願は、車両のインターネット技術の分野に関し、特に、アップグレード方法および装置、ならびに電子デバイスに関する。

【背景技術】

【0002】

車両のインターネット技術の発展に伴い、車載構成要素のアップグレードには、無線（over the air，OΤΑ）技術が広く使用されている。車載構成要素は、車載通信端末を含むだけでなく、車載コントローラ（例えば、パッシブエントリパッシブスタート（passive entry passive start，PEPS）、電池管理システム（battery management system、BMS）、モータ制御ユニット（motor control unit、MCU）、および配電ユニット（power distribution unit、PDU））を含む。したがって、車載構成要素のアップグレードは、高い複雑さを有するだけでなく、より高いセキュリティおよび信頼性の要件も有する。

【0003】

しかしながら、車載構成要素のアップグレードのプロセスにおいて、車載構成要素のソフトウェア機能が一旦故障すると、車載構成要素はアップグレードされることに失敗し、その結果、車載構成要素が使用不可状態となる。加えて、車両の走行に関連した車載構成要素（例えば、前記車載コントローラ）が使用不可状態であるとき、車両は正常に使用されることができない。この場合、いくつかの技術的解決策では、車両は指定された領域に移動され、技術者は車載構成要素のソフトウェア機能ステータスの回復処理を実行する。しかしながら、この解決策は非効率的であり、大量の人的資源および物的資源を必要とする。

【0004】

したがって、車載構成要素のソフトウェア機能ステータスが故障しているとき、車載構成要素のアップグレードのセキュリティおよび信頼性を向上させ、ユーザによる車両の通常使用を容易にするために車載構成要素をアップグレードし続ける方法は、緊急に解決される必要がある技術的問題である。

【発明の概要】

【0005】

本出願の実施形態は、アップグレード方法および装置、ならびに電子デバイスを提供し、その結果、ソフトウェア機能が故障しているときに車載構成要素が依然としてアップグレードタスクを継続することができ、車載構成要素のアップグレードのセキュリティおよび信頼性が効果的に改善され、それによってユーザによる車両の通常の使用が容易になる。

【課題を解決するための手段】

【0006】

第1の態様によれば、本出願の一実施形態はアップグレード方法を提供する。本方法は、サーバまたはサーバに配置されたチップに適用され得る。本方法は、車載構成要素のソフトウェア機能が故障しているときに第1の命令を取得するステップであって、第1の命令が車載構成要素のアップグレード戦略を示すために使用され、アップグレード戦略が車載構成要素のソフトウェア機能ステータスに関連付けられる、ステップ、および第1の命令に応答してアップグレードタスクのタスク情報を送信するステップであって、タスク情報がアップグレード戦略に関する情報を含み、アップグレード戦略に関する情報がアップグレードされる車載構成要素を示すために使用される、ステップを含む。

【0007】

車載構成要素は、車載端末、ドメインコントローラ、センサ、および電子制御ユニット（electronic control unit，ECU）を含むが、これらに限定されないことが理解されよう。異なる車載構成要素のソフトウェア機能は異なる。例えば、配電ユニット（power distribution unit、PDU）のソフトウェア機能は電力制御機能である。別の例では、モータ制御ユニット（motor control unit、MCU）のソフトウェア機能は信号制御機能である。別の例では、レーダのソフトウェア機能は、速度測定機能、角度測定機能、および測距機能である。

【0008】

本出願のこの実施形態では、ソフトウェア機能ステータスはアップグレード戦略に関連付けられ、車載構成要素のアップグレード戦略は、車載構成要素のソフトウェア機能ステータスに基づいて調整され得る。例えば、車両のセキュリティ要件に関連したソフトウェア機能（例えば、通信機能または車速検出機能）が正常に実行しているとき、セキュリティ要件に関連しない車載構成要素のいくつかのソフトウェア機能（例えば、車両高圧信号設定機能またはフラグステータス設定機能）の故障が車載構成要素のアップグレードプロセスに与える影響は無視される。このようにして、ソフトウェア機能が故障しているときに車載構成要素が依然としてアップグレードされ続けることができ、車載構成要素のアップグレードのセキュリティおよび信頼性が効果的に改善され、車両の利用不可能性が低減されることができ、それによってユーザによる車両の正常な使用が容易になる。

【0009】

一可能な設計では、アップグレード戦略に関する情報は事前設定条件を含み、事前設定条件は、アップグレード前処理手順を省略するために車載構成要素によって使用されるか、またはアップグレード状態に直接入るために車載構成要素によって使用され得る。

【0010】

車載構成要素がアップグレードされる前の処理手順は、信号制御手順、ミューテックスをチェックする手順、および車両状態をチェックする手順を含むが、これらに限定されないことが理解されよう。信号制御手順は、例えば、車載構成要素のパワーオンウェイクアップ信号（KL15）、コントローラ領域ネットワーク（controller area network，CAN）のネットワークウェイクアップ信号、および車両の高電圧信号のうちの少なくとも1つの設定であり得る。ミューテックスのチェック手順は、例えば、車載サービスの競合チェックであってもよい。車両状態をチェックする手順は、例えば、車両によるフラグのリフレッシュを許可するチェック、および車両のアップグレード状態のチェックであってもよい。「車載構成要素は、アップグレード状態に直接入る」は、車載構成要素が車載構成要素のアップグレード前処理手順を省略し、アップグレードタスクを実行する状態に直接入ると理解され得る。

【0011】

本出願のこの実施形態では、事前設定条件は、車載構成要素のソフトウェア機能故障状態に関連される。言い換えれば、異なるソフトウェア機能故障状態は、異なる事前設定条件に対応する。例えば、車載構成要素はパッシブエントリパッシブスタート（passive entry passive start、PEPS）であり、PEPSのソフトウェア機能は信号（例えば、CANネットワークウェイクアップ信号およびパワーオンウェイクアップ信号）制御機能である。信号制御機能が故障している場合、事前設定条件は、車載構成要素の信号制御結果を検出する手順が省略されることである。さらに別の例では、車載構成要素はPDUであり、PDUのソフトウェア機能は電力制御機能である。電力制御機能が故障している場合、事前設定条件は、車載構成要素の電力制御結果を検出する手順が省略されることである。

【0012】

この設計では、アップグレード戦略に関する情報に事前設定条件が設定される。事前設定条件は、アップグレード前処理手順を省略するために車載構成要素によって使用されるか、またはアップグレード状態に直接入るために車載構成要素によって使用され得、その結果、アップグレード戦略が柔軟に設定されることができる。このようにして、車載構成要素は、いくつかのソフトウェア機能が故障しているときも、依然としてアップグレードタスクを継続することができる。

【0013】

一可能な設計では、サーバは第2の命令をさらに送信し得る。第2の命令は、車両の速度およびギア状態をチェックするように指示するために使用されてもよい。

【0014】

この設計では、サーバは、車両の速度およびギア状態をチェックするように指示するために使用される第2の命令を送信する。このようにして、車両は速度およびギア状態をチェックすることができるので、ユーザの安全が確保されながら車載構成要素のアップグレードが行われ、それによって車載構成要素のアップグレードのセキュリティが効果的に向上する。

【0015】

一可能な設計では、アップグレードタスクのタスク情報を送信するステータスの前に、アップグレード方法は、リスク警告情報を表示するステップ、およびリスク警告情報に対するユーザの第1の動作を取得するステップをさらに含む。第1の動作は、ユーザがサーバにアップグレードタスクのタスク情報を配信することを許可することを示すために使用される。

【0016】

この設計では、サーバは、アップグレードタスクのタスク情報を配信するためのユーザの許可を取得した後にのみ、アップグレードタスクのタスク情報を送信し、その結果、車載構成要素のアップグレードに対するユーザの誤操作の影響が効果的に低減されることができ、車載構成要素のアップグレードはユーザ要件を満たす。

【0017】

一可能な設計では、第1の命令は、ユーザ入力に基づいて決定されてもよい。

【0018】

この設計では、第1の命令は、ユーザ入力に基づいて決定され、その結果、車載構成要素のアップグレードはユーザ要件を満たす。加えて、車載構成要素のソフトウェア機能ステータスが故障していることをユーザが発見したとき、サーバは、アップグレード戦略を調整するために適時にトリガされてもよく、それによって車載構成要素のアップグレード効率が改善され、ユーザによる車両の通常使用が容易になる。

【0019】

一可能な設計では、サーバは第3の命令をさらに取得し得る。第3の命令が、ユーザがサーバにアップグレードタスクに対応するアップグレードパッケージを配信することを許可することを示すために使用される場合、サーバは車両にアップグレードパッケージを送信する。

【0020】

この設計では、サーバは、ユーザ命令により、アップグレードパッケージを配信するかどうかを決定する。具体的には、ユーザは、車載構成要素のローカルアップグレードパッケージを使用することによって、またはサーバによって配信されるアップグレードパッケージを使用することによって車載構成要素がアップグレードされるかを決定し得る。このようにして、車載構成要素のアップグレードは、ユーザ要件をさらに満たす。

【0021】

可能な設計では、サーバは、署名されたタスク情報を取得するために、車両の第1の証明書に基づいてアップグレードタスクのタスク情報にさらに署名し得る。署名されたタスク情報は、タスク情報のセキュリティを検証するために使用され得る。

【0022】

第1の証明書は、認証局によって車両に発行された証明書であってもよく、車両の法的識別情報を一意に識別するために使用されることが理解されよう。第1の証明書は、サーバの中で事前構成されてもよいし、認証局からサーバによって要求されてもよい。これは、本出願のこの実施形態では限定されない。

【0023】

この設計では、アップグレードタスクのタスク情報が署名され、その結果、車両はアップグレードタスクのタスク情報に対して署名検証を実行することができる。このようにして、アップグレードタスクのタスク情報が他者により修正されて車載構成要素のアップグレード中にセキュリティ上の問題が発生する場合が効果的に低減されることができる。

【0024】

第2の態様によれば、本出願の一実施形態は、別のアップグレード方法をさらに提供する。本方法は、車両、または車両に配置されたチップもしくは車載構成要素に適用され得る。本方法は、アップグレードタスクのタスク情報を受信するステップであって、タスク情報が、アップグレード戦略に関する情報を含み、アップグレード戦略に関する情報が、車載構成要素のソフトウェア機能ステータスと関連付けられる、ステップ、およびアップグレード戦略に関する情報に基づいて車載構成要素をアップグレードするステップを含む。

【0025】

本出願のこの実施形態では、アップグレードタスクのタスク情報を受信した後、車両またはチップまたは車両に配置された車載構成要素は、タスク情報のアップグレード戦略に関する情報に基づいて車載構成要素をアップグレードし得る。ソフトウェア機能ステータスは、アップグレード戦略に関連付けられている。このようにして、ソフトウェア機能が故障しているときに車載構成要素が依然としてアップグレードされ続けることができ、車載構成要素のアップグレードのセキュリティおよび信頼性が効果的に改善され、車両の利用不可能性が低減されることができ、それによってユーザによる車両の正常な使用が容易になる。

【0026】

一可能な設計では、アップグレード戦略に関する情報は事前設定条件を含み、事前設定条件は、アップグレード前処理手順を省略するために車載構成要素によって使用されるか、またはアップグレード状態に直接入るために車載構成要素によって使用され得る。

【0027】

一可能な設計では、本方法は、第2の命令を受信するステップをさらに含む。第2の命令は、車両の速度およびギア状態をチェックするように指示するために使用される。

【0028】

一可能な設計では、アップグレード戦略に関する情報に基づいて車載構成要素をアップグレードするプロセスは、アップグレードタスクに対応するアップグレードパッケージを受信し、アップグレード戦略およびアップグレードパッケージに関する情報に基づいて車載構成要素をアップグレードするステップであり得る。

【0029】

この設計では、受信したアップグレードパッケージに基づいて車載構成要素がアップグレードされ、その結果、車載構成要素のソフトウェア機能を更新する適時性が効果的に改善されることができる。

【0030】

一可能な設計では、アップグレード戦略に関する情報に基づいて車載構成要素をアップグレードするプロセスは、アップグレード戦略および車両のローカルアップグレードパッケージに関する情報に基づいて車載構成要素をアップグレードするステップであり得る。

【0031】

この設計では、車載構成要素は、車両のローカルアップグレードパッケージに基づいてアップグレードされる。このようにして、車載構成要素のアップグレード効率が効果的に改善されることができ、その結果、車両はより迅速に通常の使用状態に戻されることができ、それによってユーザによる車両の通常の使用が容易になる。

【0032】

一可能な設計では、アップグレード戦略に関する情報に基づいて車載構成要素をアップグレードする前に、本方法は、車両の第1の証明書に基づいてタスク情報の署名を検証するステップ、およびタスク情報の署名検証に成功したと決定するステップをさらに含む。

【0033】

この設計では、タスク情報の署名が検証された後にのみ車載構成要素がアップグレードされ、それによって車載構成要素のアップグレードのセキュリティおよび信頼性を効果的に改善する。

【0034】

第2の態様における他の可能な設計に対応する有益な効果については、第1の態様における対応する設計の有益な効果を参照されたい。本明細書では詳細は再度説明されない。

【0035】

第3の態様によれば、本出願の一実施形態は別のアップグレード方法をさらに提供し、本方法は、電子デバイスまたは電子デバイスに配置されたチップに適用され得る。例えば、電子デバイスは、携帯電話、コンピュータ、タブレットコンピュータ、パームトップコンピュータ、デスクトップコンピュータ、ヘッドセット、スピーカ、ウェアラブルデバイス、車載デバイス、仮想現実デバイス、および拡張現実デバイスなどのインテリジェント端末であってもよい。本方法は、リスク警告情報を表示するステップ、およびリスク警告情報に対するユーザの第1の動作を取得するステップを含む。第1の動作は、ユーザがサーバにアップグレードタスクのタスク情報を配信することを許可することを示すために使用される。

【0036】

本出願のこの実施形態では、電子デバイスは、リスク警告情報を表示し、リスク警告情報に対するユーザの第1の動作を取得する。このようにして、タスク情報を配信するためのユーザの許可情報が決定され、その結果、車載構成要素のアップグレードに対するユーザの誤操作の影響が効果的に低減されることができ、それによって車載構成要素のアップグレードのセキュリティおよび信頼性を効果的に向上させる。

【0037】

一可能な設計では、リスク警告情報は第2の動作を示すために使用され、第2の動作は、車両が停止状態にあると決定するステップ、車両がセキュア領域にあると決定するステップ、車両が未充電状態であると決定するステップ、車両のドアが閉状態であると決定するステップ、および車両の車載診断デバイスが取り外されていることを決定するステップのうちの少なくとも1つを含むが、これに限定されない。第2の動作は、ユーザまたは車両によって実施されてもよい。これは、本出願のこの実施形態では具体的に限定されない。

【0038】

この設計では、車載構成要素のアップグレードのセキュリティを確保するために、リスク警告情報が使用され、対応する動作を実行するようにユーザまたは車両に指示し得る。

【0039】

第4の態様によれば、本出願の一実施形態は、アップグレード装置をさらに提供する。装置は、第1の態様による方法を実施するように構成され得る。例えば、装置は、車載構成要素のソフトウェア機能が故障しているときに第1の命令を取得するように構成された、処理モジュールであって、第1の命令が車載構成要素のアップグレード戦略を示すために使用され、アップグレード戦略が車載構成要素のソフトウェア機能ステータスに関連付けられる、処理モジュール、および第1の命令に応答してアップグレードタスクのタスク情報を送信するように構成された、トランシーバモジュールを含み、タスク情報は、アップグレード戦略に関する情報を含み、アップグレード戦略に関する情報は、アップグレードされる車載構成要素を示すために使用される。

【0040】

一可能な設計では、アップグレード戦略に関する情報は事前設定条件を含み、事前設定条件は、アップグレード前処理手順を省略するために車載構成要素によって使用されるか、またはアップグレード状態に直接入るために車載構成要素によって使用される。

【0041】

一可能な設計では、トランシーバモジュールは、第2の命令を送信するようにさらに構成されてもよい。第2の命令は、車両の速度およびギア状態をチェックするように指示するために使用される。

【0042】

一可能な設計では、装置は表示モジュールをさらに含み得る。トランシーバモジュールがアップグレードタスクのタスク情報を送信する前に、表示モジュールは、リスク警告情報を表示するように構成されてもよい。処理モジュールは、リスク警告情報に対するユーザの第1の動作を取得するようにさらに構成されてもよい。第1の動作は、ユーザがサーバにアップグレードタスクのタスク情報を配信することを許可することを示すために使用される。

【0043】

一可能な設計では、第1の命令は、ユーザ入力に基づいて決定される。

【0044】

一可能な設計では、処理モジュールは、第3の命令を取得するようにさらに構成されてもよい。第3の命令は、ユーザがサーバにアップグレードタスクに対応するアップグレードパッケージを配信することを許可することを示すために使用される。トランシーバモジュールは、アップグレードパッケージを車両に送信するようにさらに構成され得る。

【0045】

一可能な設計では、処理モジュールは、署名されたタスク情報を取得するために、車両の第1の証明書に基づいてアップグレードタスクのタスク情報に署名するようにさらに構成される。署名されたタスク情報は、タスク情報のセキュリティを検証するために使用され得る。

【0046】

第5の態様によれば、本出願の一実施形態は、アップグレード装置をさらに提供する。装置は、第2の態様による方法を実施するように構成され得る。例えば、本装置は、アップグレードタスクのタスク情報を受信するように構成された、トランシーバモジュールであって、タスク情報が、アップグレード戦略に関する情報を含み、アップグレード戦略に関する情報が、車載構成要素のソフトウェア機能ステータスと関連付けられる、トランシーバモジュール、およびアップグレード戦略に関する情報に基づいて車載構成要素をアップグレードするように構成された、処理モジュールを含む。

【0047】

一可能な設計では、アップグレード戦略に関する情報は事前設定条件を含み、事前設定条件は、アップグレード前処理手順を省略するために車載構成要素によって使用されるか、またはアップグレード状態に直接入るために車載構成要素によって使用される。

【0048】

一可能な設計では、トランシーバモジュールは、第2の命令を受信するようにさらに構成されてもよい。第2の命令は、車両の速度およびギア状態をチェックするように指示するために使用される。

【0049】

一可能な設計では、トランシーバモジュールは、アップグレードタスクに対応するアップグレードパッケージを受信するようにさらに構成されてもよい。処理モジュールは、アップグレード戦略およびアップグレードパッケージに関する情報に基づいて車載構成要素をアップグレードするようにさらに構成され得る。

【0050】

一可能な設計では、処理モジュールは、アップグレード戦略および車両のローカルアップグレードパッケージに関する情報に基づいて車載構成要素をアップグレードするようにさらに構成され得る。

【0051】

一可能な設計では、処理モジュールは、車両の第1の証明書に基づいてタスク情報の署名を検証し、タスク情報の署名検証が成功したと決定されたときにのみ、アップグレード戦略に関する情報に基づいて車載構成要素をアップグレードするようにさらに構成されてもよい。

【0052】

第6の態様によれば、本出願の一実施形態は電子デバイスをさらに提供し、電子デバイスは、第3の態様による方法を実施するように構成され得る。例えば、電子デバイスは、リスク警告情報を表示するように構成された、表示モジュール、およびリスク警告情報に対するユーザの第1の動作を取得するように構成された、取得モジュールを含む。第1の動作は、ユーザがクラウドにアップグレードタスクのタスク情報を配信することを許可することを示すために使用される。

【0053】

一可能な設計では、リスク警告情報は第2の動作を示すために使用され、第2の動作は、車両が停止状態にあると決定するステップ、車両がセキュア領域にあると決定するステップ、車両が未充電状態であると決定するステップ、車両のドアが閉状態であると決定するステップ、および車両の車載診断デバイスが取り外されていることを決定するステップのうちの少なくとも1つを含む。

【0054】

第7の態様によると、本出願の一実施形態は、車両をさらに提供する。例えば、車両は、メモリおよびプロセッサを含む。メモリは、コンピュータプログラムを記憶するように構成される。プロセッサは、第2の態様または第2の態様の可能な設計のいずれか1つによるアップグレード方法を実施するために、メモリに記憶されたコンピューティングプログラムを実行するように構成される。

【0055】

第8の態様によれば、本出願の一実施形態はサーバをさらに提供する。例えば、サーバは、メモリおよびプロセッサを含む。メモリは、コンピュータプログラムを記憶するように構成される。プロセッサは、第1の態様または第1の態様の可能な設計のいずれか1つによるアップグレード方法を実施するために、メモリに記憶されたコンピューティングプログラムを実行するように構成される。

【0056】

可能な設計では、サーバは、単一のサーバまたは複数のサブサーバを含むサーバクラスタであってもよい。サーバが複数のサブサーバを含むサーバクラスタであるとき、複数のサブサーバは、第1の態様または第1の態様の可能な設計のいずれか1つによるアップグレード方法を共同で実行するように構成されてもよい。

【0057】

第9の態様によると、本出願の一実施形態は、コンピュータ記憶媒体をさらに提供する。コンピュータ記憶媒体は、コンピュータプログラムを記憶する。コンピュータプログラムが実行されると、第1の態様もしくは第1の態様の可能な設計のいずれか1つによるアップグレード方法が実施されるか、または第2の態様もしくは第2の態様の可能な設計のいずれか1つによるアップグレード方法が実施されるか、または第3の態様もしくは第3の態様の可能な設計のいずれか1つによるアップグレード方法が実施される。

【0058】

第10の態様によれば、本出願の一実施形態は、チップシステムを提供する。チップシステムは、少なくとも1つのプロセッサを含む。プログラム命令が少なくとも1つのプロセッサで実行されると、第1の態様もしくは第1の態様の可能な設計のいずれか1つによるアップグレード方法が実施されるか、または第2の態様もしくは第2の態様の可能な設計のいずれか1つによるアップグレード方法が実施されるか、または第3の態様もしくは第3の態様の可能な設計のいずれか1つによるアップグレード方法が実施される。

【0059】

一可能な設計では、チップシステムは通信インターフェースをさらに含み得、通信インターフェースは情報を入力または出力するように構成される。

【0060】

可能な設計では、チップシステムはメモリをさらに含み得る。メモリは、通信インターフェースを使用してプロセッサに結合されてもよく、プロセッサが、通信インターフェースを通して、メモリに記憶された命令を読み取るように、前述の命令を記憶するように構成される。

【0061】

一可能な設計では、プロセッサは処理回路であってもよい。これは本出願では制限されない。

【0062】

第11の態様によれば、本出願の一実施形態は、コンピュータプログラム製品をさらに提供する。コンピュータプログラム製品が装置上で実行されると、装置は、第1の態様および第1の態様の任意の設計のいずれか1つによるアップグレード方法を実行するか、または第2の態様および第2の態様の可能な設計のいずれか1つによるアップグレード方法を実行するか、または第3の態様および第3の態様の可能な設計のいずれか1つによるアップグレード方法を実行し得る。

【0063】

第4の態様から第11の態様の有益な効果については、第1の態様から第3の態様の有益な効果の説明を参照されたい。本明細書では詳細は再度説明されない。

【図面の簡単な説明】

【0064】

【図1】本出願の一実施形態による、システムアーキテクチャの概略図である。

【図2】本出願の一実施形態による、別のシステムアーキテクチャの概略図である。

【図3】本出願の一実施形態が適用可能である、シナリオの概略図である。

【図4】本出願の一実施形態による、アップグレード方法の概略フローチャートである。

【図5A】本出願の一実施形態による、インターフェースの概略図1である。

【図5B】本出願の一実施形態による、インターフェースの概略図2である。

【図6】本出願の一実施形態による、車両による車載構成要素のアップグレードの概略フローチャートである。

【図7】本出願の一実施形態による、セキュアな対話シナリオの概略図である。

【図8A-1】本出願の一実施形態による、別のアップグレード方法の概略フローチャート1である。

【図8A-2】本出願の一実施形態による、別のアップグレード方法の概略フローチャート1である。

【図8B-1】本出願の一実施形態による、別のアップグレード方法の概略フローチャート2である。

【図8B-2】本出願の一実施形態による、別のアップグレード方法の概略フローチャート2である。

【図9】本出願の一実施形態による、アップグレード装置の構造の概略図である。

【図10】本出願の一実施形態による、別のアップグレード装置の構造の概略図である。

【図11】本出願の一実施形態による、チップシステムの構造の概略図である。

【発明を実施するための形態】

【0065】

最初に、当業者の理解を容易にするために、本出願の実施形態におけるいくつかの用語が説明され、記載される。

【0066】

（1）車載構成要素は、車両機能を実現するように構成された様々な構成要素である。例えば、車載構成要素は、例えば、車載端末、ドメインコントローラ、センサ、および電子制御ユニット（electronic control unit、ECU）のうちのいずれか1つであってもよい。異なる車載構成要素のソフトウェア機能は異なる。例えば、配電ユニット（power distribution unit、PDU）のソフトウェア機能は電力制御機能である。別の例では、モータ制御ユニット（motor control unit、MCU）のソフトウェア機能は信号制御機能である。別の例では、レーダのソフトウェア機能は信号制御機能である。本出願の実施形態には、1つまたは複数の車載構成要素があり得る。

【0067】

（2）証明書（certificate）とは、認証局（certificate authority、CA）によってデジタル署名されたファイルであり、公開鍵および公開鍵所有者に関する情報を含むデジタル証明書を意味する。証明書は、通信当事者間の識別情報認証に使用される。証明書は、一般に、証明書バージョン番号（version）、シリアル番号（serial number）、署名アルゴリズム識別子（signature）、発行者名（issuer）、サブジェクト公開鍵情報（subject public key info）、および有効性（validity）などの情報を含む。証明書は、発行者識別子（issuer unique identifier）、サブジェクト識別子（subject unique identifier）、および他の拡張情報（extensions）をさらに含み得る。本出願の実施形態における証明書は、送信者の情報に署名するために使用され得、その結果、受信者が署名された情報を検証することができる。

【0068】

（3）署名は、デジタル証明書を使用して送信される情報を識別するプロセスとして理解され得る。本出願の実施形態における送信される情報は、アップグレードタスクのタスク情報であってもよく、またはアップグレードタスクに対応するアップグレードパッケージであってもよい。

【0069】

（4）本出願の実施形態では、アップグレードデバイスは、少なくとも車載構成要素をアップグレードし、アップグレードタスクのアップグレードパッケージを管理するために車両に配置されたデバイスとして理解され得る。アップグレードデバイスは、例えば、テレマティクスボックス（telematics box，T－Box）またはゲートウェイデバイス（gateway，GW）であってもよい。これは、本出願のこの実施形態では具体的に限定されない。

【0070】

（5）本出願の実施形態において、「少なくとも1つの」は1つまたは複数を意味し、「複数の」は2つ以上を意味する。「および／または」は、関連オブジェクト間の関連付け関係を記述し、3つの関係が存在し得ることを表す。例えば、Aおよび／またはBは、Aのみが存在する場合、AとBの両方が存在する場合、およびBのみが存在する場合を表すことができ、AおよびBは単数であっても複数であってもよい。記号「／」は一般に、関連付けられた対象間の「または」関係を示す。「以下のうちの少なくとも1つ」またはその類似表現は、単一の項目または複数の項目の任意の組み合わせを含む、それらの項目の任意の組み合わせを指す。例えば、a、b、およびcのうちの少なくとも1つは、a、b、c、aおよびb、aおよびc、bおよびc、またはa、b、およびcを表し得、a、b、およびcは、単数形であっても複数形であってもよい。

【0071】

加えて、本出願の説明では、「第1の」および「第2の」などの用語は、区別および説明のために使用されているにすぎず、相対的な重要性を示すまたは暗示するものとして理解されるべきではないし、または順序を示すまたは暗示するものとして理解されるべきではないことを理解されたい。

【0072】

本出願の実施形態は、アップグレード方法および装置、ならびに電子デバイスを提供する。本方法は、サーバおよび車両に適用され得る。本方法では、車載構成要素のソフトウェア機能が故障しているときに第1の命令が取得され得、第1の命令に応答してアップグレードタスクのタスク情報が送信される。第1の命令は、車載構成要素のアップグレード戦略を示すために使用され、アップグレード戦略は、車載構成要素のソフトウェア機能ステータスに関連付けられる。タスク情報は、アップグレード戦略に関する情報を含み、アップグレード戦略に関する情報は、アップグレードされる車載構成要素を示すために使用される。これに対応して、車両は、アップグレードタスクに対応するタスク情報を受信し、タスク情報のアップグレード戦略に関する情報に基づいて車載構成要素をアップグレードする。本方法では、ソフトウェア機能ステータスはアップグレード戦略に関連付けられ、サーバは、車載構成要素のソフトウェア機能ステータスに基づいて車載構成要素のアップグレード戦略を調整し得る。例えば、車両のセキュリティ要件に関連したソフトウェア機能（例えば、通信機能または車速検出機能）が正常に実行しているとき、セキュリティ要件に関連しない車載構成要素のいくつかのソフトウェア機能（例えば、車両高圧信号設定機能またはフラグステータス設定機能）の故障が車載構成要素のアップグレードプロセスに与える影響は無視される。このようにして、ソフトウェア機能が故障しているときに車載構成要素が依然としてアップグレードされ続けることができ、車載構成要素のアップグレードのセキュリティおよび信頼性が効果的に改善され、車両の利用不可能性が低減され、それによってユーザによる車両の正常な使用が容易になる。

【0073】

添付の図面を参照して、以下では、本出願の一実施形態が適用可能であるシステムアーキテクチャについて説明する。

【0074】

図1は、本出願の一実施形態が適用可能であるシステムアーキテクチャを示す。図1に示されるシステムは、車両100およびサーバ200を含む。

【0075】

サーバ200は、通信対話を実施するために、従来のインターネットプロトコル（internet protocol、IP）ネットワークを介して車両100への通信接続を確立し得ることが理解されよう。代替的に、サーバ200は、通信対話を実施するために、移動通信ネットワーク（アクセスネットワークおよびコアネットワークを含む）を通して車両100への通信接続を確立し得る。これは、本出願のこの実施形態では限定されない。

【0076】

サーバ200は、車両100と通信および対話し得る。可能な実装形態では、サーバ200は、車両100の車載構成要素のソフトウェア機能が故障しているときに第1の命令を取得し、第1の命令に応答してアップグレードタスクのタスク情報を車両100に送信し得る。第1の命令は、車載構成要素のアップグレード戦略を示すために使用されてもよく、アップグレード戦略は、車載構成要素のソフトウェア機能ステータスに関連付けられる。これに対応して、タスク情報は、アップグレード戦略に関する情報を含み、アップグレード戦略に関する情報は、アップグレードされる車載構成要素を示すために使用される。このようにして、車両100は、アップグレードタスクのタスク情報を受信し、タスク情報のアップグレード戦略に関する情報に基づいて車載構成要素をアップグレードし得る。例えば、車載構成要素の車両高電圧信号設定機能およびフラグステータス設定機能が故障しているとき、サーバ200は、第1の命令を取得し、第1の命令に基づいて車載構成要素のアップグレード戦略を調整し、アップグレード戦略を搬送するタスク情報を車両100に送信し得、その結果、車両100は、調整されたアップグレード戦略に基づいて車載構成要素をアップグレードすることができる。このようにして、ソフトウェア機能が故障しているときに車載構成要素が依然としてアップグレードされ続けることができ、車載構成要素のアップグレードのセキュリティおよび信頼性が効果的に改善され、車両100の利用不可能性が低減されることができ、それによってユーザによる車両100の正常な使用が容易になる。

【0077】

さらに、車両100は、車載構成要素101およびアップグレード構成要素102を含む。このようにして、サーバ200は、アップグレード構成要素102への通信接続を確立し、アップグレードタスクのタスク情報をアップグレード構成要素102に送信し得、その結果、アップグレード構成要素102は、タスク情報のアップグレード戦略に関する情報に基づいて車載構成要素101をアップグレードし得る。アップグレード構成要素102は、例えば、T－BOXであってもよい。

【0078】

任意選択的に、システムは、電子デバイス300をさらに含んでもよい。サーバ200は、電子デバイス300と通信し、対話し得る。同様に、サーバ200は、通信対話を実施するために、従来のIPネットワークを通して電子デバイス300への通信接続を確立し得る。代替的に、サーバ200は、通信対話を実施するために、移動通信ネットワーク（アクセスネットワークおよびコアネットワークを含む）を通して電子デバイス300への通信接続を確立し得る。これは、本出願のこの実施形態では限定されない。

【0079】

サーバ200は、以下を含むがこれに限定されない、複数の実装形態において第1の命令を取得することが理解されよう。

【0080】

実装形態1：電子デバイス300は、ユーザ入力を取得し、ユーザ入力を第1の命令に変換し、第1の命令をサーバ200に送信する。これに対応して、サーバ200は第1の命令を受信する。このようにして、サーバ200は、電子デバイス300を使用することによって第1の命令を取得し得、その結果、ユーザは車載構成要素のアップグレードを遠隔制御することができ、それによってユーザ体験を効果的に改善する。

【0081】

実装形態2：サーバ200は、ユーザ入力を取得し、ユーザ入力を第1の命令に変換する。このようにして、サーバ200は、第1の命令を迅速に取得することができ、それによって車載構成要素のアップグレード効率を効果的に改善する。

【0082】

図1に示されたアーキテクチャは、複数の通信シナリオ、例えば、第5世代（The 5th Generation、5G）通信システム、将来の第6世代通信システムおよび進化した他の通信システム、ロングタームエボリューション（Long Term Evolution、LTE）通信システム、車とあらゆるモノ間（vehicle to everything、V2X）、ロングタームエボリューション－車両（LTE－vehicle、LTE－V）、車車間（vehicle to vehicle、V2V）、車両のインターネット、マシンタイプ通信（Machine Type Communications、MTC）、モノのインターネット（internet of things、IoT）、ロングタームエボリューションマシンツーマシン（LTE－machine to machine、LTE－M）、およびマシンツーマシン（machine to machine、M2M）に適用され得ることに留意されたい。これは、本出願の実施形態において限定されない。

【0083】

図1のサーバ200は、クラウドサーバであってもよいし、ローカルサーバであってもよいことに留意されたい。これは、本出願のこの実施形態では限定されない。電子デバイス300は、携帯電話、コンピュータ、タブレットコンピュータ、パームトップコンピュータ、デスクトップコンピュータ、ヘッドセット、スピーカ、ウェアラブルデバイス、車載デバイス、仮想現実デバイス、および拡張現実デバイスなどのインテリジェント端末のいずれか1つであってもよい。これは、本出願のこの実施形態では限定されない。

【0084】

図2は、本出願の一実施形態が適用可能である別の可能なシステムアーキテクチャを示す。図2では、サーバ200の一例としてクラウドサーバが使用され、電子デバイス300の一例として携帯電話が使用され、車載構成要素のアップグレードを実現するデバイスの一例としてアップグレードデバイス102が使用されている。

【0085】

クラウドサーバは、無線経由（over the air、OTA）アップグレード管理モジュール1およびOTAアップグレードパッケージ管理モジュール2を含む。OTAアップグレード管理モジュール1は、OTAアップグレードタスクを作成し、アップグレードタスクを管理し、アップグレードタスクのタスク情報を配信するように構成され得る。OTAアップグレードパッケージ管理モジュール2は、アップグレードタスクに対応するアップグレードパッケージを管理するように構成され得、アップグレードデバイス102に対応するアップグレードパッケージを提供し得る。

【0086】

アップグレードデバイス102は、OTAアップグレード管理モジュール3およびOTAアップグレードパッケージ管理モジュール4を含む。OTAアップグレード管理モジュール3は、OTAアップグレード管理モジュール1と通信および対話し、OTAアップグレードタスクを受信し、アップグレードタスクを管理し、アップグレード関連データ（例えば、車載構成要素のソフトウェア機能ステータス、アップグレード進捗、およびアップグレード異常情報）をOTAアップグレード管理モジュール1に報告するように構成される。OTAアップグレードパッケージ管理モジュール4は、OTAアップグレードパッケージ管理モジュール2と通信および対話して、アップグレードタスクに対応するアップグレードパッケージを取得し、すべての車載構成要素のアップグレードパッケージを管理するように構成され得る。

【0087】

携帯電話は、OTAアップグレード管理モジュール5を含む。OTAアップグレード管理モジュール5は、ユーザ入力に対して対応する変換処理を実行し、OTAアップグレード管理モジュール1と通信および対話するように構成されてもよい。一可能な実装形態では、OTAアップグレード管理モジュール5は、ユーザ入力を取得し、ユーザ入力を第1の命令に変換し、第1の命令をOTAアップグレード管理モジュール1に送信し得る。このようにして、第1の命令を受信した後、OTAアップグレード管理モジュール1は、第1の命令に応答して、アップグレードタスクのタスク情報をOTAアップグレード管理モジュール3に送信し得、その結果、OTAアップグレード管理モジュール3は、タスク情報に基づいて、タスク情報に関連付けられた車載構成要素をアップグレードし得る。

【0088】

本出願のこの実施形態では、車載構成要素のソフトウェア機能は、複数の理由、例えば、車載構成要素の関連した車載構成要素の異常、OTAアップグレードデバイスの異常動作、または車載構成要素のソフトウェア機能の損傷のために故障する可能性があることに留意されたい。したがって、本出願のこの実施形態で提供されるアップグレード方法は、以下を含むがこれらに限定されない複数のシナリオに適用可能である。

【0089】

シナリオ1：第1の車載構成要素に関連付けられた第2の車載構成要素が異常であり、その結果、第1の車載構成要素を正常にアップグレードすることができない。

【0090】

シナリオ1では、第1の車載構成要素がアップグレードタスクを処理しているとき、第1の車載構成要素に関連付けられた第2の車載構成要素が故障している場合、第1の車載構成要素のアップグレードタスクは中断され、第1の車載構成要素のソフトウェア機能は故障している。加えて、第2の車載構成要素の故障が解決された後、OTAアップグレードデバイスがアップグレードタスクを再開したとしても、第1の車載構成要素のソフトウェア機能は依然として故障状態にあり（すなわち、使用不可状態である）、アップグレードタスクに関連した手順（例えば、関連した制御信号を設定すること）が実施されることができない。その結果、OTAアップグレードデバイスは、第1の車載構成要素のアップグレードタスクを依然として実施することができない。

【0091】

例えば、図3の（a）を参照されたい。第1の車載構成要素の一例として、BMS、MCU、PDUのいずれかの車載構成要素が使用され、第2の車載構成要素の一例として、車両100のバッテリが使用される。例えば、BMSがアップグレードタスク（例えば、アップグレードパッケージをリフレッシュすること）を処理しているとき、バッテリ故障（例えば、電源オフまたは電力不足）が発生する場合、BMSのソフトウェア機能が故障し、BMSのアップグレードタスクの中断を引き起こす。加えて、バッテリ故障が回復された後、OTAアップグレードデバイスがアップグレードタスクを再開しても、BMSのソフトウェア機能は依然として故障状態にあるため、BMSは車両の高電圧信号を設定することができない。その結果、MDCは開始されることができず、MDCはOTAアップグレードデバイスのアップグレードモード制御パケットを受信することができない。その結果、OTAアップグレードデバイスは、BMSのアップグレードタスクを実施することができない。

【0092】

同様に、MCUがアップグレードタスク（例えば、アップグレードパッケージをリフレッシュすること）を処理しているとき、バッテリ故障（例えば、電源オフまたは電力不足）が発生する場合、MCUのソフトウェア機能が故障し、MCUのアップグレードタスクの中断を引き起こす。加えて、バッテリ故障が回復された後、OTAアップグレードデバイスがアップグレードタスクを再開しても、MCUのソフトウェア機能は依然として故障状態にあるため、MCUは車両の高電圧信号を設定することができない。その結果、MDCは開始されることができず、MDCはOTAアップグレードデバイスのアップグレードモード制御パケットを受信することができない。その結果、OTAアップグレードデバイスは、MCUのアップグレードタスクを実施することができない。

【0093】

同様に、PDUがアップグレードタスク（例えば、アップグレードパッケージをリフレッシュすること）を処理しているとき、バッテリ故障（例えば、電源オフまたは電力不足）が発生する場合、PDUのソフトウェア機能が故障し、PDUのアップグレードタスクの中断を引き起こす。加えて、バッテリ故障が回復された後、OTAアップグレードデバイスがアップグレードタスクを再開しても、PDUのソフトウェア機能は依然として故障状態にあるため、PDUは車両の高電圧信号を設定することができない。その結果、MDCは開始されることができず、MDCはOTAアップグレードデバイスのアップグレードモード制御パケットを受信することができない。その結果、OTAアップグレードデバイスは、PDUのアップグレードタスクを実施することができない。

【0094】

シナリオ2：OTAアップグレードデバイスで異常動作が発生し、その結果、第1の車載構成要素が正常にアップグレードされることができない。

【0095】

シナリオ2では、第1の車載構成要素がアップグレードタスクを処理しているときに、OTAアップグレードデバイスに異常動作（例えば、再起動）が発生する場合、第1の車載構成要素のソフトウェア機能が故障し、第1の車載構成要素のアップグレードタスクの中断を引き起こす。OTAアップグレードデバイスが正常に実行していても、第1の車載構成要素は依然として故障状態にあり、アップグレードタスクに関連した手順（例えば、関連した制御信号を設定すること）が実施されることはできない。その結果、OTAアップグレードデバイスは、第1の車載構成要素のアップグレードタスクを実施することができない。

【0096】

例えば、図3の（b）を参照されたい。OTAアップグレードデバイスの一例としてT－BOXが使用され、第1の車載構成要素の一例としてPEPSが使用される。PEPSがアップグレードタスク（例えば、アップグレードパッケージをリフレッシュすること）を処理しているとき、T－BOXが再起動され、PEPSのソフトウェア機能が故障し、PEPSのアップグレードタスクの中断を引き起こす。T－BOXが正常に実行していても、PEPSのソフトウェア機能は依然として故障状態にあり、PEPSはマルチドメインコントローラ（multi domain controller、MDC）のパワーオンウェイクアップ信号（KL15）を設定することができない。その結果、MDCは開始されることができず、MDCはT－BOXのアップグレードモード制御パケットを受信することができない。その結果、T－BOXは、PEPSのアップグレードタスクを実施することができない。

【0097】

シナリオ3：第1の車載構成要素のソフトウェア機能が故障しており、その結果、第1の車載構成要素が正常にアップグレードされることができない。

【0098】

シナリオ3では、第1の車載構成要素がアップグレードタスクを実行すると（例えば、アップグレードパッケージをリフレッシュすること、またはアップグレードパッケージをロードすること）、第1の車載構成要素の理由のため第1の車載構成要素のソフトウェア機能が故障した場合（例えば、チップが損傷される）、第1の車載構成要素のアップグレードタスクが中断される。

【0099】

例えば、第1の車載構成要素は、BMSである。BMSのチップが破損され、BMSのソフトウェア機能が故障しているため、BMSは車両の高電圧信号を設定することができない。その結果、MDCは開始されることができず、MDCはOTAアップグレードデバイスのアップグレードモード制御パケットを受信することができない。その結果、OTAアップグレードデバイスは、BMSのアップグレードタスクを実施することができない。

【0100】

本出願のこの実施形態で提供される方法によれば、車載構成要素のアップグレード戦略は、車載構成要素のソフトウェア機能ステータスに基づいて調整され得る。したがって、本出願のこの実施形態で提供される方法によれば、前述のシナリオ1、シナリオ2、およびシナリオ3の第1の車載構成要素は、ソフトウェア機能が故障しているときも依然としてアップグレードタスクを実行することができる。加えて、ソフトウェア機能ステータスはアップグレード戦略に関連付けられているので、車載構成要素のアップグレードのセキュリティおよび信頼性が効果的に改善されることができ、車両の利用不可能性が低減されることができ、それによってユーザによる車両の通常の使用が容易になる。

【0101】

以下は、特定の添付の図面を参照して、本出願のこの実施形態で提供されるアップグレード方法について説明する。

【0102】

図4は、本出願の一実施形態による、アップグレード方法の概略フローチャートである。本方法は、図1に示されたシステムアーキテクチャに適用可能である。本方法を実行するための実行体の一例としてサーバ200および車両100が挙げられる。本方法は以下のステップを含む。

【0103】

S401：サーバ200は、車載構成要素のソフトウェア機能が故障しているとき、第1の命令を取得する。

【0104】

車載構成要素は、車載端末、ドメインコントローラ、センサ、およびECU制御ユニットを含むが、これらに限定されないことが理解されよう。本出願のこの実施形態では、1つまたは複数の車載構成要素があってもよい。例えば、車載構成要素は、PEPSであってもよいし、BMS、MCU、およびPDUであってもよい。これは、本出願のこの実施形態では具体的に限定されない。

【0105】

本出願のこの実施形態では、「車載構成要素のソフトウェア機能が故障している」は、車載構成要素のソフトウェア機能が使用不可能な状態にあることとして理解され得る。一可能な実装形態では、サーバ200は、事前設定された時間間隔で車両100から車載構成要素の診断ステータスを要求し、診断ステータスに基づいて、車載構成要素のソフトウェア機能が故障しているかどうかを決定し、車載構成要素のソフトウェア機能が故障しているときに第1の命令を取得し得る。別の可能な実装形態では、サーバ200は、事前設定された時間間隔で、車両100によって能動的に報告された車載構成要素の診断状態を受信し、診断状態に基づいて、車載構成要素のソフトウェア機能が故障しているかどうかを決定し、車載構成要素のソフトウェア機能が故障しているときに第1の命令を取得し得る。

【0106】

異なる車載構成要素のソフトウェア機能は、同じであっても異なっていてもよいことが理解されよう。例えば、PDUとMCUの両方は、高電圧信号を設定する機能を有する。別の例として、PDUのソフトウェア機能はさらに電力制御機能であってもよく、レーダのソフトウェア機能は速度測定機能、角度測定機能、および測距機能である。

【0107】

第1の命令は、車載構成要素のアップグレード戦略を示すために使用されてもよく、アップグレード戦略は、車載構成要素のソフトウェア機能ステータスに関連付けられる。言い換えれば、サーバ200は、車載構成要素のソフトウェア機能ステータスに基づいて、第1の命令に応答して車載構成要素のアップグレード戦略を調整し得る。例えば、車載構成要素はPEPSである。PEPSのソフトウェア機能は、車両高圧信号設定機能である。車両高圧信号設定機能が故障しているとき、サーバ200は、PEPSのアップグレード戦略を調整して、車両高圧信号を検出する手順を省略し、アップグレード状態に直接入り得る。別の例では、車載構成要素はPDUである。PDUのソフトウェア機能は電力制御機能である。電力制御機能が故障しているとき、サーバ200は、PDUのアップグレード戦略を調整して、MDCパワーオンウェイクアップ状態を検出する手順を省略し、アップグレード状態に直接入り得る。別の例では、車載構成要素はBMSである。BMSのソフトウェア機能はバッテリ管理機能である。バッテリ管理機能が故障しているとき、サーバ200は、BMSのアップグレード戦略を調整して、電力を検出する手順を省略し、アップグレード状態に直接入り得る。別の例では、車載構成要素はMCUである。MCUのソフトウェア機能は、モータ信号制御機能である。モータ信号制御機能が故障しているとき、サーバ200は、PDUのアップグレード戦略を調整して、モータ信号を検出する手順を省略し、アップグレード状態に直接入り得る。このようにして、ソフトウェア機能が故障しているときに車載構成要素が依然としてアップグレードされ続けることができ、車載構成要素のアップグレードのセキュリティおよび信頼性が効果的に改善され、車両100の利用不可能性が低減されることができ、それによってユーザによる車両100の正常な使用が容易になる。

【0108】

本出願のこの実施形態では、第1の命令は、ユーザ入力に基づいて決定されてもよい。第1の命令は、以下を含むがこれに限定されない複数の実装形態におけるユーザ入力に基づいて決定される。

【0109】

実装形態1：車載構成要素のソフトウェア機能が故障していると決定したとき、サーバ200は、図5Aに示されるユーザインターフェースを表示し、ユーザインターフェースを通してユーザ入力（例えば、「OK」ボタンに対するユーザのタップ操作）を取得し、ユーザ入力を第1の命令に変換し、第1の命令をサーバ200に送信するように電子デバイス300を制御し得る。サーバ200は第1の命令を受信する。このようにして、サーバ200は、電子デバイス300を使用することによって第1の命令を取得し得、その結果、ユーザは車載構成要素のアップグレードを遠隔制御することができ、それによってユーザ体験を効果的に改善する。

【0110】

実施形態2：車両100に異常動作が発生したとき、車両100は、ヒューマンマシンインターフェース（human machine interface、HMI）を通して図5Aに示されるユーザインターフェースを表示し、ユーザインターフェースを通してユーザ入力（例えば、「OK」ボタンに対するユーザのタップ操作）を取得し、ユーザ入力を第1の命令に変換し、第1の命令をサーバ200に送信し得る。サーバ200は第1の命令を受信する。このようにして、車両100に異常動作が発生し、HMIのソフトウェア機能が故障していないとき、サーバ200は、車両100を使用して第1の命令を取得し得、その結果、ユーザは車載構成要素のアップグレードを制御することができる。異常動作は、例えば、事前設定された時間長内に、ドアの開閉回数またはギアの切り替え回数が閾値を超えることであってもよい。これは、本出願のこの実施形態では具体的に限定されない。

【0111】

実装形態3：車載構成要素のソフトウェア機能が故障していると決定したとき、サーバ200は、図5Aに示されるユーザインターフェースを表示し、ユーザインターフェースを通してユーザ入力（例えば、「OK」ボタンに対するユーザのタップ操作）を取得し、ユーザ入力を第1の命令に変換し得る。このようにして、サーバ200は、第1の命令を迅速に取得することができ、それによって車載構成要素のアップグレード効率を効果的に改善し、運用および保守管理要員による車載構成要素のアップグレード制御を容易にする。

【0112】

実施形態1から実施形態3では、車載構成要素のソフトウェア機能ステータスが故障しているとき、ユーザは、車載構成要素のアップグレードを制御し得、その結果、車載構成要素のアップグレードがユーザ要件を満たす。加えて、ユーザは、アップグレード戦略を調整するために時間内にサーバ200をトリガし得、その結果、故障が発生したときに車載構成要素は依然としてアップグレードされ続けることができ、それによってユーザによる車両100の正常な使用が容易になる。

【0113】

S402：サーバ200は、第1の命令に応答してアップグレードタスクのタスク情報を送信する。これに対応して、車両100はアップグレードタスクのタスク情報を受信する。

【0114】

アップグレードタスクのタスク情報は、アップグレード戦略に関する情報を含み得、アップグレード戦略に関する情報は、アップグレードされる車載構成要素を示すために使用される。任意選択で、タスク情報は、車載構成要素の識別子（例えば、ECU識別子）およびアップグレードパッケージのユニフォームリソースロケータ（uniform resource locator、URL）をさらに含み得る。

【0115】

一可能な実装形態では、アップグレード戦略に関する情報は事前設定条件を含み、事前設定条件は、アップグレード前処理手順を省略するために車載構成要素によって使用されるか、またはアップグレード状態に直接入るために車載構成要素によって使用され得る。このようにして、アップグレード戦略に関する情報に事前設定条件が設定される。事前設定条件は、アップグレード前処理手順を省略するために車載構成要素によって使用されるか、またはアップグレード状態に直接入るために車載構成要素によって使用され得、その結果、アップグレード戦略が柔軟に設定されることができる。このようにして、車載構成要素は、ソフトウェア機能が故障しているときも、依然としてアップグレードタスクを継続することができる。

【0116】

車載構成要素がアップグレードされる前の処理手順は、信号制御手順、ミューテックスをチェックする手順、および車両状態をチェックする手順を含むが、これらに限定されないことが理解されよう。信号制御手順は、例えば、車載構成要素のパワーオンウェイクアップ信号（KL15）、CANネットワークウェイクアップ信号、および車両の高電圧信号のうちの少なくとも1つの設定であり得る。ミューテックスのチェック手順は、例えば、車載サービスの競合チェックであってもよい。車両状態をチェックする手順は、例えば、車両によるフラグのリフレッシュを許可するチェック、および車両のアップグレード状態のチェックであってもよい。「車載構成要素は、アップグレード状態に直接入る」は、車載構成要素が車載構成要素のアップグレード前処理手順を省略し、アップグレードタスクを実行する状態に直接入ると理解され得る。

【0117】

アップグレード戦略は車載構成要素のソフトウェア機能に関連されるので、事前設定条件は車載構成要素のソフトウェア機能故障状態に関連される。これに対応して、異なるソフトウェア機能故障状態は、異なる事前設定条件に対応する。

【0118】

例1：PEPS、BMS、MCU、およびPDUのソフトウェア機能がすべて故障している。PEPSのソフトウェア機能の一例としてKL15信号（例えば、CANネットワークウェイクアップ信号およびパワーオンウェイクアップ信号）制御機能が使用され、BMS、MCU、およびPDUのソフトウェア機能の一例として高電圧信号設定機能が使用される。この場合、事前設定条件は、車載構成要素の信号制御結果を検出する手順、ミューテックスをチェックする手順（例えば、車載サービスの競合チェック）、および車両状態をチェックする手順（例えば、車両によるリフレッシュフラグを許可するチェック、および車両のアップグレード状態のチェック）が省略されることである。これに対応して、事前設定条件に対応するアップグレード戦略が表1に示され得る。アップグレード戦略では、KL15のウェイクアップ結果、高電圧信号をプルする実行結果、車両ドメインまたは各ドメインによるアップグレードモードに入る実行結果、リフレッシュフラグを許可する実行結果、およびミューテックス条件（例えば、バッテリ電圧が不足している、または車載診断デバイスが取り外されていない）をチェックする実行結果が無視され得る。

【0119】

【表1】

【0120】

例2：PEPSのソフトウェア機能が故障しており、BMS、MCU、およびPDUのいずれかの車載構成要素のソフトウェア機能が故障している。PEPSのソフトウェア機能の一例としてKL15信号（例えば、CANネットワークウェイクアップ信号およびパワーオンウェイクアップ信号）制御機能が使用され、BMS、MCU、およびPDUのいずれかの車載構成要素のソフトウェア機能の一例として高電圧信号設定機能が使用される。この場合、事前設定条件は、車載構成要素の信号制御結果を検出する手順、ミューテックスをチェックする手順（例えば、車載サービスの競合チェック）、および車両状態をチェックする手順（例えば、車両によるリフレッシュフラグを許可するチェック、および車両のアップグレード状態のチェック）が省略されることである。これに対応して、事前設定条件に対応するアップグレード戦略が表2に示され得る。アップグレード戦略では、KL15のウェイクアップ結果、高電圧信号をプルする実行結果、車両ドメインまたは各ドメインによるアップグレードモードに入る実行結果、リフレッシュフラグを許可する実行結果、およびミューテックス条件（例えば、バッテリ電圧が不足している、または車載診断デバイスが取り外されていない）をチェックする実行結果が無視される。

【0121】

【表2】

【0122】

例3：PEPSのソフトウェア機能が故障しており、PEPSのソフトウェア機能の一例としてKL15信号（例えば、CANネットワークウェイクアップ信号およびパワーオンウェイクアップ信号）制御機能が使用される。この場合、事前設定条件は、車載構成要素の信号制御結果を検出する手順、ミューテックスをチェックする手順（例えば、車載サービスの競合チェック）、および車両状態をチェックする手順（例えば、車両によるリフレッシュフラグを許可するチェック、および車両のアップグレード状態のチェック）が省略されることである。これに対応して、事前設定条件に対応するアップグレード戦略が表3に示され得る。アップグレード戦略では、KL15のウェイクアップ結果、車両ドメインまたは各ドメインによるアップグレードモードに入る実行結果、リフレッシュフラグを許可する実行結果、およびミューテックス条件（例えば、バッテリ電圧が不足している、または車載診断デバイスが取り外されていない）をチェックする実行結果が無視される。

【0123】

【表3】

【0124】

例4：BMS、MCU、およびPDUのいずれかの構成要素のソフトウェア機能が故障しており、BMS、MCU、およびPDUのいずれかの構成要素のソフトウェア機能の一例として高電圧信号設定機能が使用されている。この場合、事前設定条件は、車載構成要素の信号制御結果を検出する手順、ミューテックスをチェックする手順（例えば、車載サービスの競合チェック）、および車両状態をチェックする手順（例えば、車両によるリフレッシュフラグを許可するチェック、および車両のアップグレード状態のチェック）が省略されることである。これに対応して、事前設定条件に対応するアップグレード戦略が表4に示され得る。アップグレード戦略では、高電圧信号をプルする実行結果、車両ドメインまたは各ドメインによるアップグレードモードに入る実行結果、リフレッシュフラグを許可する実行結果、およびミューテックス条件（例えば、バッテリ電圧が不足している、または車載診断デバイスが取り外されていない）をチェックする実行結果が無視される。

【0125】

【表4】

【0126】

車載構成要素のアップグレードに対するユーザの誤操作の影響を低減し、車載構成要素のアップグレードがユーザ要件を満たすようにするために、一可能な実装形態では、サーバがアップグレードタスクのタスク情報を送信する前に、リスク警告情報がユーザに表示されてもよく、その結果、ユーザは対応する動作を確認するか、またはユーザは対応する動作を実行する。リスク警告情報は、サーバ200に適合したユーザインターフェース上に表示されてもよく、または電子デバイス200を通して表示されてもよく、または車両100のHMI上に表示されてもよい。これは、本出願のこの実施形態では具体的に限定されない。

【0127】

例1：サーバ200は、リスク警告情報を表示し、リスク警告情報に対するユーザの第1の動作を取得する。第1の動作が、ユーザがサーバ200にアップグレードタスクのタスク情報を配信することを許可することを示す場合、サーバ200は、アップグレードタスクのタスク情報を配信する。例1では、サーバ200は、アップグレードタスクのタスク情報に対するユーザの許可情報を迅速に取得し得、その結果、アップグレードタスクのタスク情報を配信する効率が改善されることができ、それによって車載構成要素のアップグレード効率を効果的に改善する。

【0128】

例2：電子デバイス300は、リスク警告情報を表示し、リスク警告情報に対するユーザの第1の動作を取得する。ユーザがサーバ200にアップグレードタスクのタスク情報を配信することを許可することを示すために第1の動作が使用される場合、第1の動作は対応する命令に変換され、命令はサーバ200に送信され、その結果、サーバ200はアップグレードタスクのタスク情報を配信する。このようにして、ユーザが車載構成要素のアップグレードプロセスを遠隔制御するのに便利である。

【0129】

例3：車両100のHMIのソフトウェア機能は故障しておらず、リスク警告情報は車両100のHMIを通して表示され得、リスク警告情報に対するユーザの第1の動作が取得される。第1の動作が、ユーザがサーバ200にアップグレードタスクのタスク情報を配信することを許可することを示す場合、第1の動作は対応する命令に変換され、命令はサーバ200に送信され、その結果、サーバ200はアップグレードタスクのタスク情報を配信する。このようにして、ユーザが車両100を使用することによって車載構成要素のアップグレードプロセスを制御することは便利である。

【0130】

一可能な実装形態では、リスク警告情報は第2の動作を示すために使用され得、第2の動作は、車両が停止状態にあると決定するステップ、車両がセキュア領域にあると決定するステップ、車両が未充電状態であると決定するステップ、車両のドアが閉状態であると決定するステップ、および車両の車載診断デバイスが取り外されていることを決定するステップのうちの少なくとも1つを含むが、これに限定されない。第2の動作は、ユーザまたは車両100によって実施されてもよい。これは、本出願のこの実施形態では具体的に限定されない。この実装形態では、車載構成要素のアップグレードのセキュリティを確保するために、リスク警告情報が使用され、対応する動作を実行するようにユーザまたは車両に指示し得る。例えば、図5Bに示されるように、リスク警告情報は「車両が停止状態かつセキュア領域にあると決定し、車両が未充電状態であると決定し、車両のドアが閉じられ、車載診断デバイスが取り外されていると決定してください」である。サーバ200、車両100、および電子デバイス300は、すべてリスク警告情報を表示し、「OK」ボタンに対するユーザのタップ操作（すなわち、第1の動作）を検出し得る。この場合、ユーザがサーバ200にアップグレードタスクのタスク情報の配信を許可したと決定されてもよい。

【0131】

車載構成要素のアップグレードのセキュリティをさらに向上させるために、アップグレードタスクに対するユーザの許可情報が取得される前に、サーバ200は、ユーザに対して識別情報認証をさらに実行し得る。例えば、サーバ200は、電子デバイス300または車両100のHMIを使用してユーザ情報を取得し、取得したユーザ情報を車両100に関連付けられた事前に記憶されたユーザ情報と比較して、ユーザ識別情報検証を実行し得る。ユーザ情報は、ユーザの顔情報、声紋情報、および虹彩情報を含み得るが、これらに限定されない。

【0132】

S403：車両100は、アップグレード戦略に関する情報に基づいて車載構成要素をアップグレードする。

【0133】

一可能な実装形態では、車両100が車載構成要素をアップグレードする前に、サーバ200は、車両100に第2の命令をさらに送信し得る。第2の命令は、車両100の速度およびギア状態をチェックするように指示するために使用されてもよい。これに対応して、車両100は、第2の命令を受信し、第2の命令に応答して車両100の速度およびギア状態をチェックする。車両100の速度およびギア状態がアップグレード条件を満たすと決定されたとき（例えば、速度はゼロであり、ギアはPギアである）、車載構成要素がアップグレードされる。このようにして、車両100は速度およびギア状態をチェックすることができるので、ユーザの安全が確保されながら車載構成要素のアップグレードが行われ、それによって車載構成要素のアップグレードのセキュリティが効果的に向上する。

【0134】

一可能な実装形態では、サーバ200は、第3の命令をさらに取得してもよい。第3の命令が、ユーザがサーバ200にアップグレードタスクに対応するアップグレードパッケージを配信することを許可することを示すために使用される場合、サーバ200は車両100にアップグレードパッケージを送信する。このようにして、ユーザは、車載構成要素のローカルアップグレードパッケージを使用することによって、またはサーバ200によって配信されるアップグレードパッケージを使用することによって車載構成要素がアップグレードされるかを決定することができる。このようにして、車載構成要素のアップグレードは、ユーザ要件をさらに満たす。

【0135】

車両100は、以下を含むがこれに限定されない複数の実装形態におけるアップグレード戦略に関する情報に基づいて車載構成要素をアップグレードする。

【0136】

実装形態1：車両100は、アップグレードタスクに対応するアップグレードパッケージを受信し、アップグレード戦略およびアップグレードパッケージに関する情報に基づいて車載構成要素をアップグレードする。これにより、車載構成要素のソフトウェア機能の更新の適時性が効果的に改善されることができる。

【0137】

実装形態2：車両100は、アップグレード戦略および車両100のローカルアップグレードパッケージに関する情報に基づいて車載構成要素をアップグレードする。このようにして、車載構成要素のアップグレード効率が効果的に改善されることができ、その結果、車両100はより迅速に通常の使用状態に戻されることができ、それによってユーザによる車両100の通常の使用が容易になる。

【0138】

例えば、具体的な実装形態については、図6を参照されたい。S403は、以下のステップを含み得る。

【0139】

S601：車両100は、アップグレードタスクに対応するアップグレードパッケージがダウンロードされる必要があるかどうかを決定する。

【0140】

例えば、車両100は、アップグレードパッケージがローカルに存在するかどうかを問い合わせる。アップグレードパッケージがローカルに存在する場合、S602Aが実行され、またはアップグレードパッケージがローカルに存在しない場合、S602Bが実行される。

【0141】

S602A：車両100は、ローカルアップグレードパッケージをロードする。

【0142】

S602B：車両100は、アップグレードパッケージをダウンロードする。

【0143】

例えば、アップグレードタスクのタスク情報は、アップグレードパッケージのURLを含み、車両100は、URLからアップグレードパッケージをダウンロードし得る。

【0144】

S603：車両100は、アップグレードパッケージの完全性を検証する。

【0145】

車両100は、アップグレードパッケージの完全性を検証した後にS604を実行することを理解されたい。

【0146】

S604：車両100は、アップグレードパッケージの有効性を検証する。

【0147】

車両100は、アップグレードパッケージの完全性を検証した後にS605を実行することを理解されたい。

【0148】

S605：車両100は、アップグレード戦略に関する情報に基づいて関連した処理手順を省略する。

【0149】

「関連した処理手順を省略すること」は、関連した処理手順が実行されないこと、または関連した処理手順が実行されるが、処理手順の結果は無視されることであり得ることが理解されよう。

【0150】

例えば、アップグレード戦略に関する情報の事前設定条件は、省略された関連した処理手順が、信号制御手順、ミューテックスをチェックする手順、および車両状態をチェックする手順を含み得ることを示す。信号制御手順は、例えば、車載構成要素のパワーオンウェイクアップ信号（KL15）、CANネットワークウェイクアップ信号、および車両の高電圧信号のうちの少なくとも1つの設定であり得る。ミューテックスのチェック手順は、例えば、車載サービスの競合チェックであってもよい。車両状態をチェックする手順は、例えば、車両によるフラグのリフレッシュを許可するチェック、および車両のアップグレード状態のチェックであってもよい。具体的には、S605において、車両100は、車載構成要素の信号制御結果を検出する手順、ミューテックスをチェックする手順、および車両状態をチェックする手順をスキップしてもよい。代替的に、車両100は、車載構成要素の信号制御結果を検出する手順、ミューテックスをチェックする手順、および車両状態をチェックする手順を実行するが、関連した手順の処理結果を無視してもよい。例えば、KL15のウェイクアップ結果、高電圧信号をプルする実行結果、車両ドメインまたは各ドメインによるアップグレードモードに入る実行結果、リフレッシュフラグを許可する実行結果、およびミューテックス条件（例えば、バッテリ電圧が不足している、または車載診断デバイスが取り外されていない）をチェックする実行結果が無視される。

【0151】

S606：車両100は、アップグレードパッケージのバージョンを車載構成要素の既存のバージョンと比較する。

【0152】

車両100は、車載構成要素がアップグレードされる必要があるかどうかを決定するために、アップグレードパッケージのバージョンを車載構成要素の既存のバージョンと比較する必要があることを理解されたい。車載構成要素がアップグレードされる必要があると決定した後、車両100は、車載構成要素をアップグレードするためにS607を実行する。

【0153】

S607：車両100は、車載構成要素のアップグレードパッケージをリフレッシュする。

【0154】

車両100は、車載構成要素のアップグレードパッケージをリフレッシュし、その結果、車載構成要素がアップグレードされることを理解されたい。

【0155】

図4に示される実施形態では、車載構成要素のソフトウェア機能ステータスは、アップグレード戦略に関連付けられ、その結果、サーバ200は、車載構成要素のソフトウェア機能ステータスに基づいて車載構成要素のアップグレード戦略を調整し得る。例えば、車両100のセキュリティ要件に関連したソフトウェア機能（例えば、通信機能または車速検出機能）が正常に実行しているとき、セキュリティ要件に関連しない車載構成要素のいくつかのソフトウェア機能（例えば、車両高圧信号設定機能またはフラグステータス設定機能）の故障が車載構成要素のアップグレードプロセスに与える影響は無視される。このようにして、ソフトウェア機能が故障しているときに車載構成要素が依然としてアップグレードされ続けることができ、車載構成要素のアップグレードのセキュリティおよび信頼性が効果的に改善され、車両100の利用不可能性が低減されることができ、それによってユーザによる車両100の正常な使用が容易になる。

【0156】

本出願のこの実施形態では、車載構成要素のアップグレードのセキュリティおよび信頼性を向上させるために、本出願のこの実施形態では、対応するセキュリティ機構がさらに設定される。セキュリティ機構は、以下の実装形態を含むが、これらに限定されない。

【0157】

実装形態1：サーバ200は、署名されたタスク情報を取得するために、車両100の第1の証明書に基づいてアップグレードタスクのタスク情報にさらに署名し、次いで、署名されたタスク情報を車両100に送信し得る。署名されたタスク情報は、タスク情報のセキュリティを検証するために使用され得る。このようにして、車両100は、署名されたタスク情報を受信した後に、署名されたタスク情報で搬送された署名された情報を検証し得る。車両100は、署名アルゴリズムに基づいてアップグレードタスクのタスク情報に署名し得る。署名アルゴリズムは、例えば、MD5、SHA－1、SHA－256、およびHMAC－SHA256のいずれか1つであってもよい。これは、本出願のこの実施形態では具体的に限定されない。

【0158】

第1の証明書は、認証局によって車両100に発行された証明書であってもよく、車両100の法的識別情報を一意に識別するために使用されることが理解されよう。第1の証明書は、サーバ200の中で事前構成されてもよいし、認証局からサーバ200によって要求されてもよい。これは、本出願のこの実施形態では限定されない。

【0159】

実装形態2：サーバ200は、データトランスポート層セキュリティ（datagram transport layer security、DTLS）チャネルを使用して、アップグレードタスクのタスク情報を送信し得る。

【0160】

前述の実装形態は、別々に実施されてもよく、または組み合わせて実施されてもよい。

【0161】

同様に、アップグレードタスクに対応するアップグレードパッケージのセキュリティを向上させるために、サーバ200は、車両100の第2の証明書に基づいてアップグレードパッケージにさらに署名して、署名されたアップグレードパッケージを取得し、署名されたアップグレードパッケージを送信し得る。第2の証明書は、パッケージ専用証明書であってもよく、パッケージ専用証明書は、認証局によってアップグレードパッケージのサプライヤに発行された証明書であってもよい。

【0162】

図7は、本出願の一実施形態が適用可能であるセキュアな対話シナリオの概略図である。電子デバイス300の一例として携帯電話が使用され、サーバ200は、OTAサーバおよびコンテンツデリバリーネットワーク（content delivery network、CDN）を含む。

【0163】

OTAサーバは、携帯電話の識別情報有効性を一意に識別するためにトークン（TOKEN）を携帯電話に割り当て得、その結果、携帯電話とOTAの間の情報対話がトークンに基づいて認証され、それによって携帯電話とOTAサーバの間の通信のセキュリティを効果的に向上させる。

【0164】

一可能な実装形態では、OTAサーバは、携帯電話から第1のユーザ命令を受信し、第1のユーザ命令に基づいて対応するアップグレードタスクを作成し、RSAアルゴリズムを使用してアップグレードタスクのタスク情報に署名し、署名されたタスク情報を、DTLSチャネルを通して車両100に配信し得る。このようにして、車両100は、タスク情報の正確さを確保するために、タスク情報の署名を検証し得る。

【0165】

任意選択で、OTAサーバは、携帯電話から、アップグレードパッケージを配信することを示す第2のユーザ命令を受信し、第2のユーザ命令をCDNに転送する。RSAアルゴリズムを使用してアップグレードパッケージに署名した後、CDNは、アップグレードパッケージを車両100に送信する。このようにして、車両100は、アップグレードパッケージの署名を検証して、アップグレードパッケージの精度を効果的に確保することができる。

【0166】

理解を容易にするために、具体的な添付図面を参照して、以下では、本出願のこの実施形態における車載構成要素をアップグレードするための車両100とサーバ200の間の対話の実装詳細について説明する。

【0167】

例えば、図8A－1、図8A－2、図8B－1、および図8B－2を参照されたい。車載構成要素をアップグレードするために互いに対話する車両100およびサーバ200のプロセスは、タスク配信フェーズ、アップグレードパッケージダウンロードフェーズ、アップグレード確認フェーズ、アップグレード前処理フェーズ、アップグレードフェーズ、起動フェーズ、およびアップグレード後処理フェーズを含む。

【0168】

タスク配信フェーズは、以下のステップを含む。

【0169】

S801：サーバ200は、車両100にウェイクアップ情報を送信する。これに対応して、車両100はウェイクアップ情報を受信する。

【0170】

例えば、ウェイクアップ情報は、ショートメッセージ情報であってもよい。

【0171】

S802：車両100は非スリープモードを開始する。

【0172】

車両100によって非スリープモードを開始することは、アップグレードデバイス（例えば、T－BOX）がスリープ状態になることを禁止することであり得ることを理解されたい。

【0173】

S803：車両100は登録要求をサーバ200に送信する。これに対応して、サーバ200は登録要求を受信する。

【0174】

例えば、登録要求は、車両100の識別情報（例えば、vehicle identification number、VIN）を搬送し得、その結果、サーバ200は、登録要求を受信した後に車両100のVINに基づいて車両100の登録を完了し得る。

【0175】

S804：サーバ200は、アップグレードタスクのタスク情報を送信する。これに対応して、車両100はタスク情報を受信する。

【0176】

S805：車両100はタスク情報を検証する。

【0177】

例えば、車両100は、タスク情報の署名が有効であるかどうか、およびタスク情報が一体であるかどうかを検証し得る。タスク情報の署名が有効であり、タスク情報が一体であると決定されたとき、車両100はS806を実行する。

【0178】

S806：車両100は応答情報を送信する。これに対応して、サーバ200は応答情報を受信する。

【0179】

応答情報は、車両100がアップグレードタスクのタスク情報を正常に受信したことを示すために使用されてもよく、応答情報が、車両100がアップグレードタスクのタスク情報を正常に受信したことを示すとき、車両100はS807を実行することを理解されたい。

【0180】

アップグレードパッケージダウンロードフェーズは、以下のステップを含む。

【0181】

S807：車両100は車両信号制御をチェックする。

【0182】

車載構成要素の車両信号制御機能が故障しており、アップグレードタスクのアップグレード情報におけるアップグレード戦略に関する情報が車両信号制御をチェックする手順を省略することである場合、車両100はS807を実行するが、車両信号制御のチェック結果を無視し、S808を実行し続けることを理解されたい。例えば、車載構成要素の車両信号制御機能が故障し、その結果、車載構成要素は、MDCウェイクアップ信号、車両高電圧信号、および車両CANネットワークウェイクアップ信号を設定することができない。車両100は、MDCウェイクアップ信号、車両高電圧信号、および車両CANネットワークウェイクアップ信号をチェックし、MDCウェイクアップ信号、車両高電圧信号、および車両CANネットワークウェイクアップ信号が存在しないことを発見する。しかしながら、車両100は、車両信号のチェック結果を無視し、S808を実行し続ける。このようにして、車載構成要素のソフトウェア機能が故障したときも、車載構成要素のアップグレードプロセスは引き続き継続することができる。

【0183】

S808：車両100はアップグレードパッケージをダウンロードする。

【0184】

例えば、車両100は、アップグレードタスクのタスク情報内のURLに基づいてアップグレードパッケージをダウンロードする。

【0185】

S809：車両100はタスクステータスをサーバ200に報告する。

【0186】

「タスクステータス」は、アップグレードタスクのアップグレードフェーズを指し得ることを理解されたい。

【0187】

S810：車両100はアップグレードパッケージを検証する。

【0188】

例えば、車両100は、アップグレードパッケージの有効性および完全性を検証し、検証に成功した後にS811を実行する。

【0189】

アップグレード確認フェーズは、以下のステップを含む。

【0190】

S811：サーバ200はユーザ許可情報を送信する。これに対応して、車両100はユーザ許可情報を受信する。

【0191】

ユーザが車載構成要素をアップグレードすることに同意したと決定したとき、サーバ200は対応するユーザ許可情報を車両100に送信し得、その結果、車両100が車載構成要素をアップグレードすることを理解されたい。

【0192】

アップグレード前処理フェーズは、以下のステップを含む。

【0193】

S812：車両100はミューテックスチェックを実行する。

【0194】

アップグレードタスクのアップグレード情報におけるアップグレード戦略に関する情報がミューテックスチェックの手順を省略することの場合、車両100はS812を実行するが、ミューテックスチェック結果を無視し、S813を実行し続けることを理解されたい。例えば、ミューテックスチェック結果は、バッテリ電圧が不十分であること、および／または車載診断デバイスが取り外されていないことであってもよく、車両100はミューテックスチェック結果を無視し、S813の実行を継続し、その結果、車載構成要素のアップグレードプロセスが継続し得る。

【0195】

S813：車両100は車両信号制御をチェックする。

【0196】

同様に、アップグレード前処理フェーズでは、車両100はまた、車両信号制御をチェックする必要がある。アップグレードタスクのアップグレード情報におけるアップグレード戦略に関する情報が、車両信号制御のチェックの手順を省略することである場合、車両100は、S813を実行するが、車両信号制御のチェック結果を無視し、S814を実行し続ける。

【0197】

S814：車両100はセキュリティチェックを実行する。

【0198】

例えば、車両100がセキュリティチェックを実行し得るプロセスは、車両100が停止状態および未充電状態にあることを確保するために、速度チェック、ギアチェック、充電ガン状態チェック、パワーバッテリチェック、およびパーキングブレーキ状態チェックであってもよい。このようにして、車載構成要素をアップグレードするセキュリティが改善されることができる。

【0199】

S815：車両100はタスクステータスをサーバ200に報告する。

【0200】

同様に、アップグレード前処理フェーズでは、車両100はまた、アップグレードタスクのタスクステータスをサーバ200に報告する。

【0201】

S816：車両100は、車載構成要素の現在のバージョンをアップグレードパッケージのバージョンと比較する。

【0202】

車載構成要素の現在のバージョンがアップグレードパッケージのバージョンと異なると決定したとき、車両100はS817からS822を実行することを理解されたい。

【0203】

アップグレードフェーズは以下のステップを含む。

【0204】

S817：車両100は車両信号制御をチェックする。

【0205】

同様に、アップグレードフェーズでは、車両100はまた、車両信号制御をチェックする必要がある。アップグレードタスクのアップグレード情報におけるアップグレード戦略に関する情報が、車両信号制御のチェックの手順を省略することである場合、車両100は、S817を実行するが、車両信号制御のチェック結果を無視し、S818を実行し続ける。

【0206】

S818：車両100はセキュリティチェックを実行する。

【0207】

S818の具体的な実装形態は、S814の実装形態と同じである。詳細については、S814の関連した説明を参照されたい。

【0208】

S819：車両100は、車両制御ユニット（vehicle control unit、VCU）に、アップグレードモードに入るように通知する。

【0209】

アップグレードタスクのアップグレード情報におけるアップグレード戦略に関する情報が車両ステータスをチェックする手順を省略することであり、車両ステータスをチェックする手順が車両アップグレード状態のチェックである場合、車両100はS819を実行するが、車両アップグレード状態のチェック結果を無視し、例えば、VCUによってアップグレードモードに入った結果を無視し、S820を実行し続けることを理解されたい。

【0210】

S820：車両100は、各ドメインにアップグレードモードに入るように通知する。

【0211】

同様に、アップグレードタスクのアップグレード情報におけるアップグレード戦略に関する情報が車両ステータスをチェックする手順を省略することであり、車両ステータスをチェックする手順が車両アップグレード状態のチェックである場合、車両100はS820を実行するが、車両アップグレード状態のチェック結果を無視し、例えば、各ドメインによってアップグレードモードに入った結果を無視し、S821を実行し続ける。

【0212】

S821：車両100はタスクステータスをサーバ200に報告する。

【0213】

同様に、アップグレードフェーズでは、車両100はまた、アップグレードタスクのタスクステータスをサーバ200に報告する。

【0214】

S822：車両100は、車載構成要素のアップグレードパッケージをリフレッシュする。

【0215】

車載構成要素のアップグレードパッケージをリフレッシュする車両100のプロセスは、アップグレードパッケージに対応するプログラムコードをリフレッシュするプロセスであることを理解されたい。

【0216】

起動フェーズは、例えば、車両によるリフレッシュフラグを許可するチェック、および車両のアップグレード状態のチェックを含む。

【0217】

S823：車両100は車両信号制御をチェックする。

【0218】

同様に、アップグレードフェーズでは、車両100はまた、車両信号制御をチェックする必要がある。アップグレードタスクのアップグレード情報におけるアップグレード戦略に関する情報が、車両信号制御のチェックの手順を省略することである場合、車両100は、S823を実行するが、車両信号制御のチェック結果を無視し、S824を実行し続ける。

【0219】

S824：車両100はタスクステータスをサーバ200に報告する。

【0220】

同様に、アップグレードフェーズでは、車両100はまた、アップグレードタスクのタスクステータスをサーバ200に報告する。

【0221】

S825：車両100は、車載構成要素のソフトウェア機能を起動する。

【0222】

車両100が車載構成要素のアップグレードパッケージのリフレッシュを完了した後、車両100は車載構成要素のソフトウェア機能を起動し得ることを理解されたい。

【0223】

アップグレード後処理フェーズは、以下のステップを含む。

【0224】

S826：車両100は、車載構成要素を制御して車両信号を設定する。

【0225】

車載構成要素のソフトウェア機能が起動された後、車両100は車載構成要素を制御して、車両信号、例えば、車両高電圧信号および車両CANネットワークウェイクアップ信号を設定し得ることを理解されたい。

【0226】

S827：車両100は、各ドメインにアップグレードモードを終了するように通知する。

【0227】

S828：車両100は、車載構成要素の現在のバージョン情報を収集する。

【0228】

車両100は、車載構成要素のアップグレードの管理を容易にするために、車載構成要素の現在のバージョン情報を収集することを理解されたい。

【0229】

S829：車両100はタスクログを収集する。

【0230】

タスクログは、アップグレードタスクの実行プロセスを記録するログであり、ログは、現在のアップグレードタスクを実施する車載構成要素のプロセスにおける異常情報を含み得、その結果、車両100は、ログに基づいて車載構成要素の後続のアップグレードプロセスを最適化することができることを理解されたい。

【0231】

S830：車両100は、VCUにアップグレードモードを終了するように通知する。

【0232】

図8A－1、図8A－2、図8B－1、および図8B－2に示される車載構成要素をアップグレードするために車両100およびサーバ200が互いに対話するプロセスは、図4に示すアップグレード方法の改良であり、達成される技術的効果は、図4に示されるアップグレード方法の技術的効果と同じであることを理解されたい。具体的には、車載構成要素のソフトウェア機能が故障しているとき、いくつかの処理結果が無視され、その結果、車載構成要素のアップグレードプロセスが連続的に実行されることができ、車載構成要素のアップグレードのセキュリティおよび信頼性が効果的に改善され、車両100の利用不可能性が低減されることができ、それによってユーザによる車両100の正常な使用が容易になる。

【0233】

以下では、添付の図面を参照して、本出願の一実施形態における装置について説明する。

【0234】

図9は、本出願の前述の実施形態による、アップグレード装置の構造の可能な概略図である。装置900は、図4に示された実施形態においてサーバ200によって実行される方法を実施するように構成され得る。装置900は、サーバ、またはサーバのチップもしくは集積回路であってもよい。これは、本出願のこの実施形態では具体的に限定されない。

【0235】

例えば、装置900は、
車載構成要素のソフトウェア機能が故障しているときに第1の命令を取得するように構成された、処理モジュール901であって、第1の命令は車載構成要素のアップグレード戦略を示すために使用され、アップグレード戦略は車載構成要素のソフトウェア機能ステータスに関連付けられる、処理モジュール、および
第1の命令に応答してアップグレードタスクのタスク情報を送信するように構成された、トランシーバモジュール902であって、タスク情報は、アップグレード戦略に関する情報を含み、アップグレード戦略に関する情報は、アップグレードされる車載構成要素を示すために使用される、トランシーバモジュール
を含み得る。

【0236】

アップグレード戦略に関する情報は事前設定条件を含み、事前設定条件は、アップグレード前処理手順を省略するために車載構成要素によって使用されるか、またはアップグレード状態に直接入るために車載構成要素によって使用される。

【0237】

一可能な設計では、トランシーバモジュール902は、第2の命令を送信するようにさらに構成されてもよい。第2の命令は、車両の速度およびギア状態をチェックするように指示するために使用される。

【0238】

任意選択で、装置は、表示モジュール903をさらに含んでもよい。トランシーバモジュール902がアップグレードタスクのタスク情報を送信する前に、表示モジュール903は、リスク警告情報を表示し得る。処理モジュール901は、リスク警告情報に対するユーザの第1の動作をさらに取得してもよい。第1の動作は、ユーザがサーバにアップグレードタスクのタスク情報を配信することを許可することを示すために使用される。

【0239】

第1の命令はユーザ入力に基づいて決定される。

【0240】

任意選択で、処理モジュール901は第3の命令をさらに取得してもよい。第3の命令は、ユーザがサーバにアップグレードタスクに対応するアップグレードパッケージを配信することを許可することを示すために使用される。トランシーバモジュール902は、アップグレードパッケージを車両に送信するようにさらに構成され得る。

【0241】

任意選択で、処理モジュール901は、署名されたタスク情報を取得するために、車両の第1の証明書に基づいてアップグレードタスクのタスク情報にさらに署名し得る。署名されたタスク情報は、タスク情報のセキュリティを検証するために使用され得る。

【0242】

図10は、本出願の前述の実施形態による、別のアップグレード装置の構造の可能な概略図である。装置1000は、図4に示される実施形態において車両100によって実行される方法を実施するように構成され得る。装置1000は、車両、または車両のチップもしくは集積回路であってもよい。これは、本出願のこの実施形態では具体的に限定されない。

【0243】

例えば、装置1000は、
アップグレードタスクのタスク情報を受信するように構成された、トランシーバモジュール1001であって、タスク情報は、アップグレード戦略に関する情報を含み、アップグレード戦略に関する情報は、車載構成要素のソフトウェア機能ステータスと関連付けられる、トランシーバモジュール、およびアップグレード戦略に関する情報に基づいて車載構成要素をアップグレードするように構成された、処理モジュール1002
を含み得る。

【0244】

アップグレード戦略に関する情報は事前設定条件を含み、事前設定条件は、アップグレード前処理手順を省略するために車載構成要素によって使用されるか、またはアップグレード状態に直接入るために車載構成要素によって使用される。

【0245】

任意選択で、トランシーバモジュール1001は、第2の命令をさらに受信してもよい。第2の命令は、車両の速度およびギア状態をチェックするように指示するために使用される。

【0246】

任意選択で、トランシーバモジュール1001は、アップグレードタスクに対応するアップグレードパッケージを受信するようにさらに構成されてもよい。処理モジュール1002は、アップグレード戦略およびアップグレードパッケージに関する情報に基づいて車載構成要素をアップグレードするようにさらに構成され得る。

【0247】

任意選択で、処理モジュール1002は、アップグレード戦略および車両のローカルアップグレードパッケージに関する情報に基づいて、車載構成要素をさらにアップグレードし得る。

【0248】

任意選択で、処理モジュール1002は、車両の第1の証明書に基づいてタスク情報の署名を検証し、タスク情報の署名検証が成功したと決定されたときにのみ、アップグレード戦略に関する情報に基づいて車載構成要素をアップグレードするようにさらに構成されてもよい。

【0249】

本出願の一実施形態は、電子デバイスをさらに提供する。電子デバイスは、電子デバイス300によって実行されるアップグレード方法を実施するように構成され得る。例えば、電子デバイスは、リスク警告情報を表示するように構成された、表示モジュール、およびリスク警告情報に対するユーザの第1の動作を取得するように構成された、取得モジュールを含む。第1の動作は、ユーザがクラウドにアップグレードタスクのタスク情報を配信することを許可することを示すために使用される。リスク警告情報は第2の動作を示すために使用され、第2の動作は、車両が停止状態にあると決定するステップ、車両がセキュア領域にあると決定するステップ、車両が未充電状態であると決定するステップ、車両のドアが閉状態であると決定するステップ、および車両の車載診断デバイスが取り外されていることを決定するステップのうちの少なくとも1つを含む。

【0250】

本出願の一実施形態は車両をさらに提供する。車両はプロセッサを含み得る。プロセッサは、図4に示される実施形態において車両100によって実行される方法を実行するように構成される。

【0251】

一可能な実装形態では、車両は、コンピュータプログラムまたは命令を記憶するように構成されたメモリをさらに含む。

【0252】

一可能な実装形態では、車両は、情報を受信または送信するように構成されたトランシーバをさらに含む。

【0253】

本出願の一実施形態は、サーバをさらに提供する。サーバはプロセッサを含み、プロセッサは、図4に示される実施形態においてサーバによって実行される方法を実行するように構成される。

【0254】

任意選択で、サーバは、コンピュータプログラムまたは命令を記憶するように構成されたメモリをさらに含む。

【0255】

任意選択で、サーバは、情報を受信または送信するように構成されたトランシーバをさらに含む。

【0256】

一可能な実装形態では、前述のサーバは、単一のサーバまたは複数のサブサーバを含むサーバクラスタである。サーバが複数のサブサーバを含むサーバクラスタであるとき、複数のサブサーバは、前述のアップグレード方法を共同で実行する。

【0257】

本出願の一実施形態は、チップシステムをさらに提供する。図11を参照されたい。チップシステム1100は、少なくとも1つのプロセッサを含む。プログラム命令が少なくとも1つのプロセッサ1101で実行されると、前述の実施形態におけるアップグレード方法が実施される。

【0258】

任意選択で、チップシステムは通信インターフェース1103をさらに含み、通信インターフェースは情報を入力または出力するように構成される。

【0259】

任意選択で、チップシステムは、メモリ1102をさらに含む。メモリ1102は、通信インターフェース1103を使用してプロセッサに結合され、プロセッサが、通信インターフェース1103を通して、メモリに記憶された命令を読み取るように、前述の命令を記憶するように構成される。

【0260】

プロセッサ1101、メモリ1102、および通信インターフェース1103の間の接続媒体は、本出願のこの実施形態では限定されないことを理解されたい。本出願のこの実施形態では、メモリ1102、プロセッサ1101、および通信インターフェース1103は、図11の通信バス1104を通して接続される。バスは、図11において太線で表されており、他の構成要素間の接続は、説明のための単なる例であり、限定として解釈されるべきではない。バスは、アドレスバス、データバス、制御バスなどを含んでもよい。表現を容易にするために、図11では、バスを表すために1本の太線のみが使用されているが、それは、1つのみのバスまたは1つのみのタイプのバスなどがあることを示すものではない。

【0261】

受信／送信するためのモジュール（トランシーバモジュール）は、装置のインターフェース回路であってもよく、別の装置から信号を受信／送信するように構成される。例えば、装置がチップの方式で実装されるとき、トランシーバモジュールは、別のチップまたは装置から信号を受信／送信するように構成された、チップのインターフェース回路である。

【0262】

本出願の一実施形態は、命令を含むコンピュータプログラム製品をさらに提供する。コンピュータプログラム製品が前述の装置上で実行されると、前述の実施形態におけるアップグレード方法が実行される。

【0263】

本出願の一実施形態は、コンピュータ可読記憶媒体を提供する。コンピュータ可読記憶媒体は、コンピュータプログラムを記憶する。コンピュータプログラムが実行されると、前述の実施形態におけるアップグレード方法が実施される。

【0264】

例えば、モジュールまたはユニットへの分割は、単に論理的な機能分割であり、実際の実装では他の分割であってもよい。例えば、複数のユニットまたは構成要素が組み合わされてよく、または別の装置に統合されてもよく、いくつかの特徴は無視されてもよく、または実行されなくてもよい。加えて、表示もしくは説明された相互接続、直接接続、または通信接続は、いくつかのインターフェースを使用して実装されてもよい。装置またはユニット間の間接結合または通信接続は、電気的、機械的、または他の形態で実装されてもよい。

【0265】

別々の部分として説明されるユニットは、物理的に分離していても分離していなくてもよく、ユニットとして表示される部分は、1つまたは複数の物理的ユニットであってもよく、すなわち、1つの場所に位置していてもよく、または複数の異なる場所に分散されていてもよい。実施形態の解決策の目的を達成するために、実際の要件に基づいて、ユニットの一部または全部が選択されてもよい。

【0266】

さらに、本出願の実施形態における機能ユニットは、1つの処理モジュールに統合されてもよく、またはユニットのそれぞれが物理的に単独で存在してもよく、または2つ以上のユニットが1つのユニットに統合される。統合ユニットは、ハードウェアの形態で実装されてもよく、またはソフトウェア機能ユニットの形態で実装されてもよい。

【0267】

本出願の実施形態では、モジュール分割は一例であり、単なる論理機能分割にすぎない。実際の実装形態では、別の分割方式が使用されてもよい。加えて、本出願の実施形態における機能モジュールは1つのプロセッサに統合されてよく、またはモジュールの各々は物理的に単独で存在してよく、または2つ以上のモジュールは1つのモジュールに統合される。統合モジュールは、ハードウェアの形態で実装されてよく、またはソフトウェア機能モジュールの形態で実装されてもよい。

【0268】

本出願の実施形態における方法の全部または一部は、ソフトウェア、ハードウェア、ファームウェア、またはそれらの任意の組み合わせを使用することによって実装されてもよい。実施形態を実施するためにソフトウェアが使用される場合、前述の実施形態は、コンピュータプログラム製品の形態で完全にまたは部分的に実施されてもよい。このコンピュータプログラム製品は、1つまたは複数のコンピュータ命令を含む。コンピュータプログラム命令がコンピュータにロードされて実行されると、本出願の実施形態による手順または機能が全面的または部分的に生成される。コンピュータは、汎用コンピュータ、専用コンピュータ、コンピュータネットワーク、ネットワークデバイス、ユーザ機器、または別のプログラマブル装置であってもよい。コンピュータ命令は、コンピュータ可読記憶媒体に記憶されてもよく、またはコンピュータ可読記憶媒体から他のコンピュータ可読記憶媒体に送信されてもよい。例えば、コンピュータ命令は、有線（例えば、同軸ケーブル、光ファイバ、またはデジタル加入者線（digital subscriber line、略してDSL））または無線（例えば、赤外線、無線、またはマイクロ波）方式で、ウェブサイト、コンピュータ、サーバ、またはデータセンタから他のウェブサイト、コンピュータ、サーバ、またはデータセンタに送信されてもよい。コンピュータ可読記憶媒体は、コンピュータによってアクセス可能な任意の使用可能な媒体、または1つもしくは複数の使用可能な媒体を統合した、サーバやデータセンタなどのデータ記憶デバイスであり得る。使用可能な媒体は、磁気媒体（例えば、フロッピーディスク、ハードディスク、磁気テープ）、光学媒体（例えば、デジタルビデオディスク（digital video disc、DVD））、半導体媒体などであってもよい。

【0269】

本出願の実施形態では、論理的な矛盾がない場合には、実施形態は相互に参照されてもよい。例えば、方法実施形態における方法および／または用語が相互に参照されてもよく、装置実施形態における機能および／または用語が相互に参照されてもよい。例えば、装置実施形態と方法実施形態との間の機能および／または用語が相互に参照されてもよい。

【0270】

当業者は、本出願の範囲から逸脱することなく、本出願に様々な修正および変形を加えることができる。本出願は、本出願の特許請求の範囲およびそれらの均等な技術によって定義される保護の範囲内にある限り、本出願のこれらの修正および変形を包含することが意図されている。

【符号の説明】

【0271】

100 車両
101 車載構成要素
102 アップグレード構成要素、アップグレードデバイス
200 サーバ
300 電子デバイス
900、1000 装置
901、1002 処理モジュール
902、1001 トランシーバモジュール
903 表示モジュール
1100 チップシステム
1101 プロセッサ
1102 メモリ
1103 通信インターフェース
1104 通信バス

【図1】

【図2】

【図3】

【図4】

【図5A】

【図5B】

【図6】

【図7】

【図8A-1】

【図8A-2】

【図8B-1】

【図8B-2】

【図9】

【図10】

【図11】

【手続補正書】

【提出日】2024-07-04

【手続補正1】

【補正対象書類名】特許請求の範囲

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【特許請求の範囲】

【請求項1】

アップグレード方法であって、
アップグレードタスクのタスク情報を取得するステップと、
アップグレードタスクの前記タスク情報を送信するステップであって、前記タスク情報がアップグレード戦略に関する情報を含み、前記アップグレード戦略が車載構成要素のソフトウェア機能ステータスと関連付けられており、前記アップグレード戦略に関する前記情報がアップグレードされる前記車載構成要素を示すために使用される、ステップと
を含む、方法。

【請求項2】

前記アップグレード戦略に関する前記情報は事前設定条件を含み、前記事前設定条件は、アップグレード前処理手順を省略するために前記車載構成要素によって使用されるか、またはアップグレード状態に直接入るために前記車載構成要素によって使用される、請求項1に記載の方法。

【請求項3】

アップグレードタスクのタスク情報を取得する前記ステップが、
前記車載構成要素のソフトウェア機能が故障しているときに第1の命令を取得するステップであって、前記第1の命令は前記車載構成要素の前記アップグレード戦略を示すために使用される、ステップと、
前記第1の命令に応答して前記アップグレードタスクの前記タスク情報を取得するステップと
を含む、請求項1または2に記載の方法。

【請求項4】

前記方法が、
第2の命令を送信するステップであって、前記第2の命令は、車両の速度およびギア状態をチェックするように指示するために使用される、ステップ
をさらに含む、請求項1から3のいずれか一項に記載の方法。

【請求項5】

アップグレードタスクのタスク情報を送信する前記ステップの前に、前記方法が、
リスク警告情報を表示するステップと、
前記リスク警告情報に対するユーザの第1の動作を取得するステップであって、前記第1の動作は、前記ユーザがサーバに前記アップグレードタスクの前記タスク情報を配信することを許可することを示すために使用される、ステップと
をさらに含む、請求項1から4のいずれか一項に記載の方法。

【請求項6】

前記第1の命令が、ユーザ入力に基づいて決定される、請求項1から5のいずれか一項に記載の方法。

【請求項7】

前記方法が、
第3の命令を取得するステップであって、前記第3の命令は、前記ユーザが前記サーバに前記アップグレードタスクに対応するアップグレードパッケージを配信することを許可することを示すために使用される、ステップと、
前記アップグレードパッケージを前記車両に送信するステップと
をさらに含む、請求項1から6のいずれか一項に記載の方法。

【請求項8】

前記方法が、
前記署名されたタスク情報を取得するために、前記車両の第1の証明書に基づいて前記アップグレードタスクの前記タスク情報に署名するステップであって、前記署名されたタスク情報は、前記タスク情報のセキュリティを検証するために使用される、ステップと
をさらに含む、請求項1から7のいずれか一項に記載の方法。

【請求項9】

アップグレード方法であって、
アップグレードタスクのタスク情報を受信するステップであって、前記タスク情報は、アップグレード戦略に関する情報を含み、前記アップグレード戦略に関する前記情報は、車載構成要素のソフトウェア機能ステータスと関連付けられる、ステップと、
前記アップグレード戦略に関する前記情報に基づいて前記車載構成要素をアップグレードするステップと
を含む、方法。

【請求項10】

前記アップグレード戦略に関する前記情報は事前設定条件を含み、前記事前設定条件は、アップグレード前処理手順を省略するために前記車載構成要素によって使用されるか、またはアップグレード状態に直接入るために前記車載構成要素によって使用される、請求項9に記載の方法。

【請求項11】

前記方法が、
第2の命令を受信するステップであって、前記第2の命令は、車両の速度およびギア状態をチェックするように指示するために使用される、ステップ
をさらに含む、請求項9または10に記載の方法。

【請求項12】

前記アップグレード戦略に関する前記情報に基づいて前記車載構成要素をアップグレードする前記ステップは、
前記アップグレードタスクに対応するアップグレードパッケージを受信し、
前記アップグレード戦略および前記アップグレードパッケージに関する前記情報に基づいて前記車載構成要素をアップグレードするステップ
を含む、請求項9から11のいずれか一項に記載の方法。

【請求項13】

前記アップグレード戦略に関する前記情報に基づいて前記車載構成要素をアップグレードする前記ステップは、
前記アップグレード戦略および前記車両のローカルアップグレードパッケージに関する前記情報に基づいて前記車載構成要素をアップグレードするステップ
を含む、請求項9から11のいずれか一項に記載の方法。

【請求項14】

前記アップグレード戦略に関する前記情報に基づいて前記車載構成要素をアップグレードする前記ステップの前に、前記方法は、
前記車両の第1の証明書に基づいて前記タスク情報の署名を検証するステップと、
前記タスク情報の署名検証に成功したと決定するステップと
をさらに含む、請求項9から13のいずれか一項に記載の方法。

【請求項15】

アップグレード方法であって、
リスク警告情報を表示するステップと、
前記リスク警告情報に対するユーザの第1の動作を取得するステップであって、前記第1の動作は、前記ユーザがクラウドにアップグレードタスクのタスク情報を配信することを許可することを示すために使用される、ステップと
を含む、方法。

【請求項16】

前記リスク警告情報は第2の動作を示すために使用され、前記第2の動作は、
車両が停止状態にあると決定するステップと、
前記車両がセキュア領域にあると決定するステップと、
前記車両が未充電状態であると決定するステップと、
前記車両のドアが閉状態であると決定するステップと、
前記車両の車載診断デバイスが取り外されていることを決定するステップと
のうちの少なくとも1つを含む、請求項15に記載の方法。

【請求項17】

アップグレード装置であって、
車載構成要素のソフトウェア機能が故障しているときに第1の命令を取得するように構成された、処理モジュールであって、前記第1の命令は前記車載構成要素のアップグレード戦略を示すために使用され、前記アップグレード戦略は前記車載構成要素のソフトウェア機能ステータスに関連付けられる、処理モジュールと、
前記第1の命令に応答して前記アップグレードタスクのタスク情報を送信するように構成された、トランシーバモジュールであって、前記タスク情報は、前記アップグレード戦略に関する情報を含み、前記アップグレード戦略に関する前記情報は、アップグレードされる前記車載構成要素を示すために使用される、トランシーバモジュールと
を含む、装置。

【請求項18】

アップグレード装置であって、
アップグレードタスクのタスク情報を受信するように構成された、トランシーバモジュールであって、前記タスク情報は、アップグレード戦略に関する情報を含み、前記アップグレード戦略に関する前記情報は、車載構成要素のソフトウェア機能ステータスと関連付けられる、トランシーバモジュールと、
前記アップグレード戦略に関する前記情報に基づいて前記車載構成要素をアップグレードするように構成された、処理モジュールと
を含む、装置。

【請求項19】

リスク警告情報を表示するように構成された、表示モジュールと、
前記リスク警告情報に対するユーザの第1の動作を取得するように構成された、取得モジュールであって、前記第1の動作は、前記ユーザがサーバにアップグレードタスクのタスク情報を配信することを許可することを示すために使用される、取得モジュールと
を備える、電子デバイス。

【請求項20】

前記リスク警告情報は第2の動作を示すために使用され、前記第2の動作は、
車両が停止状態にあると決定するステップと、
前記車両がセキュア領域にあると決定するステップと、
前記車両が未充電状態であると決定するステップと、
前記車両のドアが閉状態であると決定するステップと、
前記車両の車載診断デバイスが取り外されていることを決定するステップと
のうちの少なくとも1つを含む、請求項19に記載のデバイス。

【請求項21】

メモリとプロセッサとを備える車両であって、
前記メモリは、コンピュータプログラムを記憶するように構成され、
前記プロセッサは、請求項9から14のいずれか一項に記載の方法を実施するため、前記メモリに記憶された前記コンピュータプログラムを実行するように構成される、
車両。

【請求項22】

サーバであって、前記サーバはメモリとプロセッサとを備え、
前記メモリは、コンピュータプログラムを記憶するように構成され、
前記プロセッサは、前記メモリに記憶された前記コンピューティングプログラムを実行して、請求項1から8のいずれか一項に記載の方法を実施するか、または請求項9から14のいずれか一項に記載の方法を実施するか、または請求項15から16のいずれか一項に記載の方法を実施するように構成される、サーバ。

【請求項23】

コンピュータ可読記憶媒体であって、前記コンピュータ可読記憶媒体は命令を記憶し、前記命令が実行されるとき、請求項1から8、9から14、または15または16に記載の方法が実行される、コンピュータ可読記憶媒体。

【請求項24】

アップグレード方法であって、
アップグレードタスクのタスク情報を取得するステップと、
アップグレードタスクの前記タスク情報を送信するステップであって、前記タスク情報はアップグレード戦略に関する情報を含み、前記アップグレード戦略に関する前記情報はアップグレードされる前記車載構成要素を示すために使用される、ステップと
を含む、方法。

【請求項25】

前記アップグレード戦略に関する前記情報は事前設定条件を含み、前記事前設定条件は、アップグレード状態に直接入るために前記車載構成要素によって使用される、請求項24に記載の方法。

【請求項26】

アップグレード方法であって、
アップグレードタスクのタスク情報を受信するステップであって、前記タスク情報は、アップグレード戦略に関する情報を含む、ステップと、
前記アップグレード戦略に関する前記情報に基づいて前記車載構成要素をアップグレードするステップと
を含む、方法。

【請求項27】

前記アップグレード戦略に関する前記情報は事前設定条件を含み、前記事前設定条件は、アップグレード状態に直接入るために前記車載構成要素によって使用される、請求項26に記載の方法。

【国際調査報告】