车辆控制装置、车辆控制方法以及记录介质.pdf

《车辆控制装置、车辆控制方法以及记录介质.pdf》由会员分享，可在线阅读，更多相关《车辆控制装置、车辆控制方法以及记录介质.pdf（30页完成版）》请在专利查询网上搜索。

1、(19)国家知识产权局(12)发明专利申请(10)申请公布号 (43)申请公布日 (21)申请号 202310091809.9(22)申请日 2023.01.28(30)优先权数据2022-021064 2022.02.15 JP2022-137520 2022.08.31 JP(71)申请人 本田技研工业株式会社地址 日本东京都(72)发明人 加藤久浩伯川弘昭相吉泽怜猪股孝幸川俣圣寿(74)专利代理机构 北京三友知识产权代理有限公司 11127专利代理师 黄志坚(51)Int.Cl.G06F 8/65(2018.01)G06F 8/71(2018.01)(54)发明名称车辆控制装置、车辆控制。

2、方法以及记录介质(57)摘要提供车辆控制装置、车辆控制方法以及记录介质。确保与控制车辆的程序的更新相关的可靠性。车辆控制装置具备：车辆控制部，其通过执行用于使车辆起动的车辆起动用程序而进行所述车辆的控制；存储部，其具有存储所述车辆起动用程序并限制了改写的改写限制区域、和以能改写的方式存储所述车辆起动用程序的可改写区域；通信部，其与外部装置进行通信；以程序更新部，其执行将由所述通信部接收到的用于更新所述车辆起动用程序的车辆起动用更新程序存储于所述可改写区域的更新处理，所述车辆控制部执行存储于所述可改写区域的所述车辆起动用程序，在所述程序更新部的所述更新处理未正常完成的情况下执行存储于所述改写限制。

3、区域的所述车辆起动用程序。权利要求书2页 说明书17页 附图10页CN 116610335 A2023.08.18CN 116610335 A1.一种车辆控制装置，其中，所述车辆控制装置具备：车辆控制部，其通过执行用于使车辆起动的车辆起动用程序而进行所述车辆的控制；存储部，其具有：存储所述车辆起动用程序并限制了改写的改写限制区域；以及以能够改写的方式存储所述车辆起动用程序的可改写区域；通信部，其与外部装置进行通信；以及程序更新部，其执行将由所述通信部接收到的用于更新所述车辆起动用程序的车辆起动用更新程序存储于所述可改写区域的更新处理，所述车辆控制部执行存储于所述可改写区域的所述车辆起动用程序，。

4、在所述程序更新部的所述更新处理未正常完成的情况下，执行存储于所述改写限制区域的所述车辆起动用程序。2.根据权利要求1所述的车辆控制装置，其中，所述车辆起动用程序包含对所述车辆的电源继电器进行控制的电源继电器控制程序。3.根据权利要求1所述的车辆控制装置，其中，所述程序更新部在所述更新处理未正常完成的情况下，将表示所述更新处理未正常完成的异常产生信息存储于所述存储部。4.根据权利要求3所述的车辆控制装置，其中，在所述存储部存储有所述异常产生信息的情况下，所述车辆控制部执行存储于所述改写限制区域的所述车辆起动用程序。5.根据权利要求1至4中的任意一项所述的车辆控制装置，其中，所述车辆控制装置具备通。

5、知部，该通知部进行表示所述更新处理未正常完成的异常产生通知，在所述车辆控制部执行存储于所述改写限制区域的所述车辆起动用程序的情况下，由所述通知部执行所述异常产生通知。6.根据权利要求5所述的车辆控制装置，其中，在由所述通知部执行所述异常产生通知的情况下，通过所述通信部，向所述外部装置发送表示所述更新处理未正常完成的异常产生信号。7.根据权利要求1所述的车辆控制装置，其中，所述存储部在所述可改写区域具备：存储所述车辆起动用程序和所述车辆起动用更新程序的第1存储区域；以及存储所述车辆起动用程序和所述车辆起动用更新程序的第2存储区域，所述程序更新部执行将所述车辆起动用更新程序存储于所述第1存储区域和。

6、所述第2存储区域中的至少一方的所述更新处理，在将所述车辆起动用更新程序存储于所述第2存储区域的所述更新处理未正常完成的情况下，将表示所述更新处理未正常完成的异常产生信息存储于所述第1存储区域。8.根据权利要求7所述的车辆控制装置，其中，在所述第1存储区域和所述第2存储区域存储有所述车辆起动用程序的情况下，所述车辆控制部根据所述异常产生信息，选择并执行存储于所述第1存储区域的所述车辆起动用程序或者存储于所述第2存储区域的所述车辆起动用程序。权利要求书1/2 页2CN 116610335 A29.根据权利要求7或8所述的车辆控制装置，其中，所述车辆控制装置具备通知所述更新处理未正常完成的通知部，在。

7、所述车辆控制部根据所述异常产生信息而执行存储于所述第1存储区域的所述车辆起动用程序的情况下，通过所述通知部进行异常产生第1通知。10.根据权利要求9所述的车辆控制装置，其中，在所述车辆控制部执行存储于所述改写限制区域的所述车辆起动用程序的情况下，通过所述通知部进行与所述异常产生第1通知不同的异常产生第2通知。11.根据权利要求10所述的车辆控制装置，其中，在由所述通知部执行所述异常产生第2通知的情况下，通过所述通信部，向所述外部装置发送表示所述更新处理未正常完成的异常产生信号。12.一种车辆控制方法，其是利用车辆控制装置的车辆控制方法，该车辆控制装置具备：与存在于车辆的外部的外部装置进行通信的。

8、通信部；以及存储用于使所述车辆起动的车辆起动用程序的存储部，其中，在所述存储部设置有：存储所述车辆起动用程序并限制了改写的改写限制区域；以及以能够改写的方式存储所述车辆起动用程序的可改写区域，执行将由所述通信部接收到的用于更新所述车辆起动用程序的车辆起动用更新程序存储于所述可改写区域的更新处理，通过执行存储于所述可改写区域的所述车辆起动用程序而使所述车辆起动，在所述更新处理未正常完成的情况下，执行存储于所述改写限制区域的所述车辆起动用程序。13.一种记录介质，其存储有对车辆控制装置进行控制的计算机所执行的程序，该车辆控制装置具备：与存在于车辆的外部的外部装置进行通信的通信部；以及存储用于使所述。

9、车辆起动的车辆起动用程序的存储部，其中，在所述存储部设置有存储所述车辆起动用程序并限制了改写的改写限制区域；以及以能够改写的方式存储所述车辆起动用程序的可改写区域，所述程序使所述计算机执行以下处理：执行将由所述通信部接收到的用于更新所述车辆起动用程序的车辆起动用更新程序存储于所述可改写区域的更新处理，通过执行存储于所述可改写区域的所述车辆起动用程序而使所述车辆起动，在所述更新处理未正常完成的情况下，执行存储于所述改写限制区域的所述车辆起动用程序。权利要求书2/2 页3CN 116610335 A3车辆控制装置、车辆控制方法以及记录介质技术领域0001本发明涉及车辆控制装置、车辆控制方法以及记录。

10、介质。背景技术0002近年来，以交通的安全性的提高或CO2的排出削减为目的，控制车辆的软件的功能得到充实。而且，提出了更新由搭载于车辆的ECU(Electronic Control Unit：电子控制单元)执行的程序的技术。例如，在专利文献1中，公开了一种存储程序的存储部包含存储控制程序的车辆控制程序存储区域和存储作为控制程序的更新版的更新程序的第2程序存储区域的结构。根据该结构，即便在控制程序的执行中，也能够使更新程序存储于存储部，能够减小更新程序的时机的制约。0003现有技术文献0004专利文献0005专利文献1：日本特开2019144669号公报发明内容0006发明要解决的问题0007在。

11、控制车辆的软件中，为了进行车辆的基本动作而包含重要的程序。当这样的程序受到损害时，对车辆的动作造成较大影响。因此，要求确保与更新程序的处理相关的可靠性。0008本发明是鉴于这样的背景而完成的，其目的在于，确保与控制车辆的程序的更新相关的可靠性。0009用于解决问题的手段0010用于实现上述目的的一个方案是一种车辆控制装置，其中，所述车辆控制装置具备：车辆控制部，其通过执行用于使车辆起动的车辆起动用程序而进行所述车辆的控制；存储部，其具有存储所述车辆起动用程序并限制了改写的改写限制区域、以及以能够改写的方式存储所述车辆起动用程序的可改写区域；通信部，其与外部装置进行通信；以及程序更新部，其执行将。

12、由所述通信部接收到的用于更新所述车辆起动用程序的车辆起动用更新程序存储于所述可改写区域的更新处理，所述车辆控制部执行存储于所述可改写区域的所述车辆起动用程序，在所述程序更新部的所述更新处理未正常完成的情况下，执行存储于所述改写限制区域的所述车辆起动用程序。0011发明的效果0012根据上述结构，即便在用于使车辆起动的程序的更新中产生了障碍的情况下，也能够利用存储在限制了改写的区域中的程序，使车辆起动。由此，能够确保与控制车辆的程序的更新相关的可靠性。说明书1/17 页4CN 116610335 A4附图说明0013图1是车辆的控制系统的概要结构图。0014图2是示出程序管理系统的概要结构的图。。

13、0015图3是示出第1实施方式中的控制系统的主要部分结构的框图。0016图4是示出第1实施方式中的存储部的结构例的示意图。0017图5是示出第1实施方式中的控制系统的动作的流程图。0018图6是示出第1实施方式中的控制系统的动作的流程图。0019图7是示出第2实施方式中的存储部的结构例的示意图。0020图8是示出第2实施方式中的控制系统的动作的流程图。0021图9是示出第2实施方式中的控制系统的动作的流程图。0022图10是示出第2实施方式中的控制系统的动作的流程图。0023附图标记说明00241控制系统(车辆控制装置)，2中央ECU，12TCU(通信部)，19DLC(通信部)，20区ECU，。

14、20a第1区ECU，20b第2区ECU，20c第3区ECU，30、30a、30b、30c、30d、30e、30f、30g、30h、30i、30j、30k、30l、30m、30nECU，41电源继电器，51程序执行部(车辆控制部)，52更新执行部(程序更新部)，53、53A存储部，61、61A引导区域(改写限制区域)，62程序存储区域(可改写区域)，67程序存储第1区域(可改写区域)，68程序存储第2区域(可改写区域)，72车辆起动用程序，73车辆起动用程序，74异常产生信息，81主引导记录，82车辆起动用程序，85、86车辆起动用程序，87A、87B异常产生信息，88A、88B更新信息，100。

15、程序管理系统，110服务器，120车辆诊断装置，201更新控制部，202更新数据接收部，203更新数据控制部，V车辆。具体实施方式0025图1是示出车辆的控制系统1的图。0026控制系统1具备进行车辆的整体控制和信息处理的中央ECU2。以下，将搭载有控制系统1的车辆设为本车辆。具体而言，本车辆是后述的车辆V。中央ECU2与包含通信线路4a、4b、4c的通信线路连接。中央ECU2实现对这些通信线路之间的通信数据的授受进行管理的网关的功能。此外，在中央ECU2连接有TCU(Telematics Control Unit：远程信息处理控制单元)12，该TCU是遵循于移动通信系统的通信标准的无线装置。。

16、中央ECU2利用TCU12来执行OTA(Over The Air：空中下载)管理。OTA管理包含与以下处理相关的控制：从车外的服务器下载车辆所具备的车载装置的更新程序的处理、以及将下载到的更新程序应用于车载装置的处理。此外，在中央ECU2连接有DLC(Data Link Connector：数据链路连接器)19。在DLC19能够连接后述的诊断装置等。0027在通信线路4a、4b及4c分别连接有第1区ECU20a、第2区ECU20b及第3区ECU20c。与第1区ECU20a、第2区ECU20b及第3区ECU20c连接的ECU的数量和种类不受限制，在本实施方式中，示出一个结构例。在该例中，在第1区。

17、ECU20a连接有ECU30a、30b、30c。在第2区ECU20b连接有ECU30d、30e、30f、30g、30h、30i、30j、30k。此外，在第3区ECU20c连接有ECU30l、30m、30n。0028以下，将第1区ECU20a、第2区ECU20b及第3区ECU20c也统称为区ECU20，将ECU30a说明书2/17 页5CN 116610335 A530n也统称为ECU30。0029在ECU30中，例如能够包含MPU(Map Positioning Unit：地图定位单元)、MVCECU(MVC；Multi View Camera：多视角相机)、PKSECU(PKS；Parkin。

18、g Support：停车支持)、及/或ADASECU(ADAS；Advanced DriverAssistace System：高级驾驶辅助系统)、以及其他的对本车辆具备的各种设备或传感器的动作进行控制的ECU。在这样的设备或传感器中，能够包含使本车辆行驶的行驶用马达、加速器或制动器等操纵器、VSA装置(VSA；Vehicle Stability Assist：车辆稳定辅助系统)、蓄电池、前照灯等灯体、驱动门窗的窗马达、驱动门锁机构的致动器、门锁传感器、门开闭传感器、温度传感器、车外摄像头、车室内摄像头等。0030在区ECU20分别连接有配置在本车辆的车身空间的相同分区内的多个ECU30、或者。

19、对配置在相同分区内的设备或传感器的动作进行控制的多个ECU30。0031另外，在中央ECU2，除了区ECU20之外，还能够连接其他的控制装置或设备。在这样的控制装置或设备中，能够包含ICB(Infotainment Control Box：资讯娱乐控制箱)、扬声器、麦克风、仪表盘、转向开关、GNSS(GNSS；Global Navigation Satellite System：全球导航卫星系统)传感器、触摸面板等。0032在本实施方式中，通信线路4a、4b及4c例如由进行遵循于CAN通信标准的通信的CAN总线构成。以下，将通信线路4a、4b及4c也统称为通信线路4。这里，通信线路4对应于本公。

20、开中的车载网络。此外，与通信线路4连接的区ECU20对应于本公开中的多个电子控制装置。0033与通信线路4连接的区ECU20根据现有技术，将要发送的数据按照CAN通信标准通过一个帧或者作为多个帧的列而向通信线路4送出。在按照CAN通信标准而送出的各帧中包含识别码(ID)，接收到帧的各区ECU20基于该帧所包含的ID，判断该帧是否为向自身发送的帧。0034图2是示出程序管理系统100的概要结构的图。0035程序管理系统100是能够更新构成控制系统1的各种ECU所执行的程序的系统。程序管理系统100包含服务器110和车辆诊断装置120。0036服务器110通过通信网络N而与控制系统1连接。0037。

21、通信网络N例如包括蜂窝通信网、WiFi(注册商标)网络、Bluetooth(注册商标)、因特网、WAN(Wide Area Network：广域网)、LAN(Local Area Network：局域网)、公共线路、运营商装置、专用线路、基站等，在图2中图示出基站B。控制系统1所具备的TCU12与基站B之间执行蜂窝通信，由此通过通信网络N而与外部装置执行数据通信。0038控制系统1通过TCU12而与服务器110执行通信，由此，能够从服务器110下载用于更新由控制系统1的各种ECU执行的程序的更新数据。控制系统1从服务器110下载更新数据并对程序进行更新的单元相当于上述的OTA。服务器110对应。

22、于控制系统1的外部装置的一例。TCU12对应于通信部的一例。0039车辆诊断装置120是设置于对搭载有控制系统1的车辆V进行处理的经销商或维修工厂的装置。车辆诊断装置120通过缆线而与控制系统1具有的DLC19连接。控制系统1通过与车辆诊断装置120执行通信，能够进行控制系统1所执行的程序的更新等。能够将车辆诊断装置120作为外部装置的一例，将DLC19作为通信部的一例。说明书3/17 页6CN 116610335 A60040这里，ECU的程序的更新是指，将ECU所执行的程序改写为不同版本的程序。ECU的程序的更新有时包括与程序一起改写ECU执行程序时参照的数据、及/或通过程序的执行而生成或。

23、变更的数据。ECU的程序的更新有时包括将ECU所执行的程序改写为不同版本的程序。0041第1实施方式0042首先，对本公开的第1实施方式进行说明。0043图3是示出第1实施方式中的控制系统1的主要部分结构的框图。图3示出在控制系统1中与程序的更新相关的结构的一部分，不妨碍控制系统1具备图3中未示出的结构。0044在控制系统1中，包含中央ECU2、区ECU20及ECU30的各个ECU具备处理器和存储部。处理器例如由CPU(Central Processing Unit：中央处理单元)、MCU(Micro Controller Unit：微控制单元)、MPU(Micro Processor Uni。

24、t：微处理单元)构成。存储部非易失地存储处理器所执行的程序、以及由处理器处理的数据。存储部例如是ROM(Read Only Memory：只读存储器)。此外，ECU也可以具备形成用于暂时地存储程序和数据的工作区域的RAM(Random Access Memory：随机存取存储器)。ECU也可以由一体地具备处理器、ROM、RAM的集成电路构成。此外，ECU也可以是将处理器、ROM及RAM分别设为独立的硬件的结构。0045中央ECU2具备更新控制部201作为与程序的更新相关的功能部。更新控制部201也可以是中央ECU2所具备的硬件。此外，更新控制部201也可以是通过中央ECU2的处理器执行程序而由。

25、软件与硬件的协作来实现的功能部。0046更新控制部201具备更新数据接收部202和更新数据控制部203。更新数据接收部202对TCU12进行控制，从服务器110接收用于更新程序的更新数据。更新数据控制部203利用由更新数据接收部202接收到的更新数据，对包含中央ECU2的各种ECU更新程序的处理进行控制。0047在图3中，作为更新控制部201的控制对象，图示出第2区ECU20b，但这是一例。成为更新控制部201的控制对象的ECU的数量不受限制。更新控制部201对控制系统1具备的至少一部分ECU所执行的程序的更新进行控制。更新控制部201也可以对控制系统1具备的全部的ECU或几乎全部的ECU所执。

26、行的程序的更新进行控制。0048作为根据更新控制部201的控制来更新程序的ECU的一例，在本实施方式中，对第2区ECU20b进行说明。0049第2区ECU20b具备程序执行部51、更新执行部52以及存储部53。存储部53相当于上述的存储部。程序执行部51执行存储部53所存储的程序。也能够说程序执行部51表示第2区ECU20b具备的处理器自身的功能。程序执行部51对应于车辆控制部的一例。此外，控制系统1对应于车辆控制装置的一例。存储部53存储由程序执行部51执行的程序、以及与该程序关联的数据。更新执行部52对存储部53所存储的程序进行更新。更新执行部52对应于程序更新部的一例。0050在车辆V中。

27、，第2区ECU20b的控制对象是图1所示的ECU30d30k。作为ECU30d30k，例如举出对车辆V的灯体、窗马达、门传感器、门锁机构及ESL进行控制的ECU。此外，作为ECU30d30k，例如举出对雨刮器马达、洗窗马达及电源继电器41进行控制的ECU。在本实施方式中，将ECU30k设为控制电源继电器41的ECU进行说明。0051雨刮器马达是使车辆V的雨刮器进行动作的马达。洗窗马达是对洗窗泵进行驱动说明书4/17 页7CN 116610335 A7的马达。洗窗泵由洗窗马达驱动，向车辆V的前窗喷射洗窗液。0052电源继电器41是进行用于切换从搭载于车辆V的蓄电池供给电源的电源供给状态的开关的电。

28、路。ECU30k基于由第2区ECU20b输出的信号对电源继电器41进行控制，切换向控制系统1的各部供给来自蓄电池的电力的电源接通状态、与针对控制系统1的至少一部分的电力供给停止的电源断开状态。电源继电器41例如是接触继电器。电源继电器41也可以是被称为固态继电器或半导体继电器的元件、或者其他的开关元件。0053这里，电源接通状态是指，车辆V能够使车辆V的驱动装置进行动作而行驶的状态。驱动装置例如是驱动车辆的马达或者内燃机。例如，车辆V正行驶的情况、车辆V在停车中且驱动装置进行动作的情况、以及能够使驱动装置进行动作的状态包含在电源接通状态中。与此相对，电源断开状态是指，至少停止了车辆V的驱动装置。

29、的状态，并且是为了使驱动装置进行动作而需要进行起动处理的状态。在电源断开状态中，也可以在控制系统1中停止驱动装置以外的结构部分。0054例如，在驱动装置包含内燃机的情况下，电源断开状态包含内燃机停止了动作的状态，并且是使内燃机启动的电机等不动作的状态。此外，例如，在驱动装置包含马达的情况下，电源断开状态是指，停止了向马达的电力供给且马达的驱动状态的控制停止的状态。在电源断开状态中，包含中央ECU2和第2区ECU20b的多个ECU也可以正进行动作。0055这里，将控制系统1从电源断开状态转移到电源接通状态的动作称为起动。为了使车辆V起动，需要通过第2区ECU20b控制ECU30k而使电源继电器4。

30、1进行开关。0056图4是示出存储部53的结构例的示意图。0057存储部53具有非易失性的存储区域。存储部53将程序和数据以能够改写的方式存储于存储区域。存储部53例如由半导体存储设备或磁记录装置构成。作为具体例，存储部53由闪存ROM或EEPROM(Electrically Erasable Programmable ROM：电可擦可编程只读存储器)构成。在以下的说明中，将存储部53所存储的程序和数据记载为程序。即，在以下的说明中提及的程序包括在处理器执行该程序时参照、生成或处理的数据。这些程序和数据的整体也能够称为软件。即，程序管理系统100具有管理并更新搭载于车辆V的控制系统1的软件的功。

31、能。0058存储部53的存储区域在逻辑上区分为多个区域。即，在存储部53设置有引导区域61和程序存储区域62。引导区域61和程序存储区域62均存储程序。引导区域61是限制或禁止了被更新执行部52改写的区域。引导区域61对应于改写限制区域的一例。因此，不进行更新执行部52对引导区域61所存储的程序进行更新的处理。与此相对，程序存储区域62是能够由更新执行部52改写的区域。程序存储区域62对应于可改写区域的一例。更新执行部52能够执行使程序存储区域62存储新的程序的处理、以及对程序存储区域62所存储的程序进行更新的处理。此外，引导区域61无需被完全禁止改写，只要是设定为不成为更新执行部52改写程序。

32、或数据的处理对象的区域即可。例如，不妨碍通过中央ECU2或经由DLC19而连接的车辆诊断装置120的控制对引导区域61执行改写。0059针对引导区域61的写入限制可以是基于硬件的限制，也可以是基于软件的限制。例如，在引导区域61和程序存储区域62设置于相同的半导体存储设备的存储区域的情况下，针对引导区域61的限制通过更新执行部52的规格或软件来实现。此外，例如，在引导区域61和程序存储区域62是不同的半导体存储设备的存储区域的情况下，也可以通过硬件来说明书5/17 页8CN 116610335 A8实现针对引导区域61的限制。0060引导区域61存储引导加载程序71。引导加载程序71是在第2区。

33、ECU20b使车辆V起动时最开始由程序执行部51执行的程序。程序执行部51通过执行引导加载程序71，来执行程序执行部51的处理所需的初始化等。此外，程序执行部51通过引导加载程序71的功能，读出并执行程序存储区域62所存储的车辆起动用程序73。0061程序存储区域62存储由程序执行部51执行的程序。程序存储区域62存储车辆起动用程序73。车辆起动用程序73包括用于通过第2区ECU20b对ECU30k进行控制而使电源继电器41进行动作从而使车辆V起动的程序。此外，车辆起动用程序73也可以包括对未图示的发动机启动器进行控制的功能等。0062车辆起动用程序73包括用于执行车辆V的基本动作的一个或多个。

34、程序。即，车辆起动用程序73包括进行车辆V的起动、行驶及停止所需的功能。例如，车辆起动用程序73包括与门锁机构和ESL的控制相关的功能。0063此外，车辆起动用程序73的功能包括根据法律等而要求在车辆V的行驶中执行的控制。例如，车辆起动用程序73包括与车辆V的灯体的点亮的控制相关的功能、与雨刮器马达的控制相关的功能、与洗窗马达的控制相关的功能。0064车辆起动用程序73的功能也可以包括更新控制系统1中的程序所需的功能。例如，车辆起动用程序73也可以包括经由TCU12而与服务器110执行通信的功能、以及经由DLC19而与车辆诊断装置120执行通信的功能。0065此外，车辆起动用程序73也可以包括。

35、与在车辆V的行驶中并非必须的功能相关的程序。例如，车辆起动用程序73也可以包括与提高用户的便利性的可访问性相关的功能、与提高用户的娱乐性的信息娱乐相关的功能。具体而言，车辆起动用程序73的功能也可以包括以免手动的方式打开/关闭门的功能、通过车辆V的车室空间的照明而进行演出的功能等。0066引导区域61除了存储引导加载程序71之外，还存储车辆起动用程序72。车辆起动用程序72与车辆起动用程序73同样地是用于由程序执行部51执行并供程序执行部51控制各部的程序。车辆起动用程序72与车辆起动用程序73同样地包括用于执行车辆V的基本动作的一个或多个程序。具体而言，包括进行车辆V的起动、行驶及停止所需的。

36、功能、以及根据法律等而要求在车辆V的行驶中执行的控制。因此，通过程序执行部51执行车辆起动用程序72，能够至少使车辆V起动而使车辆V行驶。0067车辆起动用程序72也可以是不包含由车辆起动用程序73实现的功能中的与提高用户的便利性的可访问性相关的功能、与提高用户的娱乐性的信息娱乐相关的功能的程序。在该情况下，用于存储车辆起动用程序72的存储容量比车辆起动用程序73小，因此，能够抑制引导区域61的存储容量。0068程序存储区域62所存储的车辆起动用程序73能够通过更新执行部52的功能而更新。与此相对，引导区域61所存储的车辆起动用程序72不被更新执行部52更新。例如，车辆起动用程序72在车辆V从。

37、工厂出厂时保持存储于引导区域61的状态而不被变更。因此，车辆起动用程序72与更新执行部52的动作无关地处于被保护的状态。在更新执行部52更新车辆起动用程序73的更新处理中，即便在发生了某些故障的情况下，控制系统1也能够通过程序执行部51执行车辆起动用程序72，由此，使车辆V起动而使车辆V行驶。说明书6/17 页9CN 116610335 A90069图5和图6是示出控制系统1的动作的流程图。图5示出对程序存储区域62所存储的车辆起动用程序73进行更新的处理。图5的步骤S14S16对应于更新处理的一例。0070更新数据接收部202通过TCU12向服务器110发送请求(步骤S11)。步骤S11的请。

38、求是用于更新ECU所存储的程序的更新程序的请求，例如，是发送用于更新车辆起动用程序73的车辆控制更新程序的请求。0071更新数据接收部202从服务器110下载由服务器110根据步骤S11的请求而发送的程序，暂时存储于未图示的存储区域(步骤S12)。这里，更新数据控制部203由于开始更新处理，因此等待车辆V的电源被切换为断开。即，更新数据控制部203判定车辆V是否被切换为电源断开状态(步骤S13)。在车辆V未被切换为电源断开状态的期间(步骤S13；否)，更新数据控制部203在步骤S13中等待。0072在判定为车辆V被切换为电源断开状态的情况下(步骤S13；是)，更新执行部52按照更新数据控制部2。

39、03的控制，开始更新处理(步骤S14)。0073在更新处理中，更新执行部52使在步骤S12中下载的车辆控制更新程序存储于程序存储区域62(步骤S15)。更新执行部52利用程序存储区域62所存储的车辆控制更新程序，执行程序存储区域62所存储的车辆起动用程序73的安装(步骤S16)。步骤S16的处理相当于将车辆起动用程序73更新为新版本的车辆起动用程序73的处理。0074更新执行部52进行确认安装正常完成的处理(步骤S17)。在步骤S17中，更新执行部52确认所安装的程序是能够由程序执行部51正常执行的状态。例如，更新执行部52计算更新后的车辆起动用程序73的哈希值，对与车辆控制更新程序一起从服务。

40、器110下载的哈希值和计算出的哈希值进行比较，由此确认更新后的车辆起动用程序73的正常性。0075更新执行部52基于步骤S17的处理的结果，判定车辆起动用程序73的安装是否正常完成(步骤S18)。在安装正常完成的情况下(步骤S18；是)，更新执行部52执行安装后的程序的激活(步骤S19)，结束本处理。激活包括与更新后的程序的执行相关的设定。0076在判定为车辆起动用程序73的安装未正常完成的情况下(步骤S18；否)，更新执行部52向程序存储区域62写入异常产生信息74(步骤S20)。0077异常产生信息74是表示车辆起动用程序73的更新处理未正常完成的信息。异常产生信息74例如也可以是标志。在。

41、该情况下，在步骤S20中，更新执行部52写入异常产生信息74相当于将异常产生信息74的标志改写为有效。在异常产生信息74存储于程序存储区域62的情况下，程序执行部51在起动时不执行车辆起动用程序73。由此，能够防止执行可能不正常动作的车辆起动用程序73。0078图6示出与第2区ECU20b的起动相关的动作。0079程序执行部51读出并执行引导区域61所存储的引导加载程序71(步骤S31)。接下来，程序执行部51参照程序存储区域62(步骤S32)，判定是否存储有异常产生信息74(步骤S33)。程序执行部51在未存储异常产生信息74的情况下(步骤S33；否)，执行程序存储区域62所存储的车辆起动用。

42、程序73(步骤S34)。程序执行部51通过执行车辆起动用程序73，利用ECU30k来切换电源继电器41，使车辆V起动(步骤S35)。由此，控制系统1成为能够控制车辆V的行驶所需的功能的状态，车辆V移至电源接通状态。0080程序执行部51在异常产生信息74存储于程序存储区域62的情况下(步骤S33；是)，执行引导区域61所存储的车辆起动用程序72(步骤S36)。程序执行部51通过执行车辆起动说明书7/17 页10CN 116610335 A10用程序72，利用ECU30k来切换电源继电器41，使车辆V起动(步骤S37)。0081在该情况下，更新控制部201或程序执行部51进行异常产生通知(步骤S。

43、38)。异常产生通知是表示车辆起动用程序73的更新处理未正常完成的通知。0082例如针对搭乘于车辆V的驾驶座位或其他座位的用户而执行异常产生通知。关于异常产生通知的内容，例如向用户引导要求车辆起动用程序73的更新的重新执行、在车辆V的经销商或维修工厂中利用车辆诊断装置120来更新车辆起动用程序73等。在步骤S38中，例如通过在搭载于车辆V的触摸面板上显示文字或图像、或者从搭载于车辆V的扬声器输出声音而执行通知。0083更新控制部201或程序执行部51在进行了异常产生通知之后，向外部装置发送异常产生信号(步骤S39)。异常产生信号是表示车辆起动用程序73的更新处理未正常完成的信号。异常产生通知例。

44、如通过TCU12被发送到服务器110，或者经由DLC19发送到车辆诊断装置120。此外，在步骤S39中，也可以采用将异常产生通知发送到预先登记在控制系统1中的智能手机或个人计算机的结构。0084通过将异常产生信号从控制系统1发送到服务器110或其他装置，例如，能够从车辆V的经销商或维修工厂对驾驶车辆V的用户进行与车辆起动用程序73的修复或重新更新相关的支援。0085第2实施方式0086接着，对本公开的第2实施方式进行说明。0087图7是示出第2实施方式中的存储部53A的结构例的示意图。代替图3和图4所示的存储部53而将存储部53A设置于第2区ECU20b。第2实施方式中的控制系统1的结构和功能。

45、除了存储部53与存储部53A的不同以及与该不同相关的动作的不同之外，与第1实施方式是共同的。针对在第1实施方式中说明的结构，在以下的说明中，通过标注与第1实施方式相同的标号而省略图示和说明。0088存储部53A具有非易失性的存储区域。存储部53A将程序和数据以能够改写的方式存储于存储区域。存储部53A与存储部53同样，由半导体存储设备或磁记录装置构成，具体而言由闪存ROM或EEPROM构成。0089存储部53A的存储区域在逻辑上区分为多个区域。即，在存储部53A中，设置有引导区域61A、A面引导镜像存储区域65、B面引导镜像存储区域66、程序存储第1区域67以及程序存储第2区域68。这些各区域。

46、均存储程序。0090引导区域61A存储主引导记录81和车辆起动用程序82。引导区域61A除了引导区域61A所存储的程序与引导区域61不同之外，与引导区域61同样地构成。0091主引导记录81是在第2区ECU20b使车辆V起动时最开始由程序执行部51执行的程序。程序执行部51参照主引导记录81，主引导记录81包括指定程序的数据等，该程序是在相当于引导加载程序71的程序和相当于该引导加载程序71的程序之后紧接着由程序执行部51应执行的程序。程序执行部51通过执行主引导记录81所包含的程序，从而执行程序执行部51的处理所需的初始化等。此外，程序执行部51通过引导加载程序71的功能，读出并执行引导程序。

47、83或引导程序84。0092A面引导镜像存储区域65存储引导程序83。B面引导镜像存储区域66存储引导程序84。说明书8/17 页11CN 116610335 A110093引导程序83是用于执行第2区ECU20b的基本动作且使车辆起动用程序85的执行开始的程序。引导程序84是用于执行第2区ECU20b的基本动作且使车辆起动用程序86的执行开始的程序。0094因此，程序执行部51紧接着主引导记录81而执行引导程序83和车辆起动用程序85、或者引导程序84和车辆起动用程序86。0095程序存储第1区域67存储车辆起动用程序85。程序存储第2区域68存储车辆起动用程序86。车辆起动用程序85是与车。

48、辆起动用程序73相同的程序。车辆起动用程序86也相同。此外，程序存储第1区域67能够存储异常产生信息87A和更新信息88A。程序存储第2区域68能够存储异常产生信息87B和更新信息88B。0096即，车辆起动用程序85、86包括用于通过第2区ECU20b使ECU30k进行动作而切换电源继电器41从而使车辆V起动的程序。此外，车辆起动用程序85、86也可以包括对未图示的发动机启动器进行控制的功能等。0097车辆起动用程序85、86包括用于执行车辆V的基本动作的一个或多个程序。换言之，车辆起动用程序85、86包括进行车辆V的起动、行驶及停止所需的功能。例如，车辆起动用程序85、86包括对门锁机构3。

49、3和ESL34进行控制的功能。此外，车辆起动用程序85、86的功能包括根据法律等而要求在车辆V的行驶中执行的控制。例如，车辆起动用程序85、86包括控制灯体的点亮的功能、控制雨刮器马达的功能、以及控制洗窗马达的功能。0098车辆起动用程序85、86的功能也可以包括控制系统1中的程序的更新所需的功能。例如，车辆起动用程序85、86也可以包括经由TCU12而与服务器110执行通信的功能、以及经由DLC19而与车辆诊断装置120执行通信的功能。0099此外，车辆起动用程序85、86也可以包括与在车辆V的行驶中并非必须的功能相关的程序。例如，车辆起动用程序85、86也可以包括与提高用户的便利性的可访问。

50、性相关的功能、与提高用户的娱乐性的信息娱乐相关的功能。具体而言，车辆起动用程序85、86的功能也可以包括以免手动的方式打开/关闭门的功能、通过车辆V的车室空间的照明而进行演出的功能等。0100车辆起动用程序85和车辆起动用程序86均是适合于第2区ECU20b的程序。车辆起动用程序85和车辆起动用程序86可以是相同的程序，也可以是不同的程序。例如，车辆起动用程序85和车辆起动用程序86是相同种类的程序，并且是版本不同的程序。假定车辆起动用程序86是比车辆起动用程序85新的版本的例子。在该例中，例如，车辆起动用程序86是对车辆起动用程序85追加了功能的改良版的程序。此外，例如，车辆起动用程序86是。