[发明专利]用于更新远程网络设备的方法和装置

说明书

本发明提供一种用于更新远程网络中，例如车辆远程网络中的控制单元的网络架构，包括管理模块、验证模块和代理模块。所述管理模块根据提供给所述管理模块的控制单元的上下文信息，制定管理控制单元更新的策略。在制定策略时，所述管理单元会考虑控制单元之间在更新版本方面的兼容性，以便能够成功更新。或者，若整个或部分更新失败，远程网络仍然可以处于稳定状态，因为在更新流程中发生错误时，所述管理模块可以为所述代理模块提供错误处理流程。

技术领域

本发明涉及设备的更新，尤其涉及车辆中控制器的更新。一方面包括根据对车辆远程网络特征的感知，尤其是控制器之间的兼容性，为远程控制器提供兼容更新。另一个方面是为更新中的错误提供错误处理流程。

背景技术

设备中包括固件和嵌入式软件，并且可以提供例如特定功能或控制器的操作系统。通常可以通过补丁来更新控制器的固件或软件。在此，为了方便起见，术语“更新”和“补丁”及其对应的形式可以互换使用。

汽车正在从机械设计向电子设计转变。控制器等车载设备，例如嵌入式系统等车辆中使用的电子控制单元(简称ECU)也可以进行更新。

在任何特定车辆中可以有多个ECU，负责控制车辆的电气系统或子系统的不同部分。ECU可以包括，例如，发动机控制模块或制动控制模块或传输控制模块。ECU可以存在于具有各种结构和配置的复杂系统中，并且，由于设计迭代和部件的可用性，提供给每个ECU的其它更新，名义上在同一车辆之间也可能有所不同。

此外，由于一些汽车与外部网络，例如互联网，具有连接性，因此，通过空口更新固件/软件(分别简称为FOTA/SOTA)的能力已成为所述车辆的特征。

然而，这种能力具有两面性。一方面，新数据、新功能或缺陷修复可以通过空口传送，从而节省了车主的时间和汽车制造商的精力。另一方面，每个补丁包都必须确保正确，并需与特定的目标车辆兼容。否则，可能导致车内控制器出现故障。因此，由于配置不当，可能导致机械部件损坏，系统进入不稳定或不可预知的状态，不仅造成经济损失，还会带来安全问题。

一个相关的方面是安全问题。由于FOTA/SOTA接口的存在，未经授权的第三方可能会对车辆进行黑客攻击和远程控制。

针对上述问题，当前方案如下：

Nilsson、Lei Sun、Tatsuo Nakajima和IEEE GlobalCom 2008共同编写的文件《车载ECU空口固件更新自验证框架》提供了散列和签名方法，以提供汽车领域补丁包的真实性和完整性。该方法采用了车载控制器如何打补丁的控制流，并使用哈希链技术来保证补丁的完整性。车载控制器是单独考虑的。

专利出版物US20030221190A1提出了一种更新一组控制器或控制器的机制。选择一个控制器作为参考。对比其它控制器，确保控制器架构和软件特性保持一致。当一组控制器保持一致，且补丁对被参照的控制器是兼容的，则所有控制器并行启动补丁过程。在这种系统设置中，控制器是同构控制器。

专利出版物US20160170775A1提出了一种兼容性感知补丁系统。每个车载控制器都包括多模块协调器特性(MMCF)功能块。控制器的所有补丁打包成1个包。补丁包下载完成后，各控制器执行MMCF功能块进行兼容性检查。控制器之间根据需要进行交互。各控制器根据检查结果决定是否执行补丁过程。每个控制器都具有多模块兼容特性，这引入了每个控制器的计算成本。

发明内容

发明人意识到当前方案有若干缺点。

本发明实施例的目的在于提供一种方案，以减轻或解决当前方案的缺点和问题。

上述和其它目标通过由独立权利要求的标的物来实现。本发明的其它有利实施方式由从属权利要求界定。进一步的实施方式在说明和附图中显而易见。