車輛用軟件分配系統的制作方法

本發明涉及車輛用軟件分配系統的技術領域。

背景技術：

已知具備可相互通信的多個電子控制單元(ecu)的車輛。在這樣的車輛中，通過在各ecu中配置軟件來實現特定的功能。在日本特開2013-237311中，提出了如下技術：對通過軟件實現的功能進行層次化，如果是鄰接的層次的功能，則許可向相同的ecu配置，如果是分開的層次的功能，則禁止向相同的ecu配置。在日本特開2013-143093中提出了如下技術：在多個ecu中使多個軟件工作的情況下，在優先級低的軟件的工作中停止進行通知。在日本特開2008-254484中，提出了如下技術：在具備多個ecu的系統中，在自身數據改寫時保存從其它ecu接收到的備份數據。

技術實現要素：

在具備多個ecu的系統中，在想要新配置軟件的情況下，根據ecu的空閑容量、處理負荷性能來決定配置目的地的情形較多。然而，若僅考慮ecu的空閑容量、處理負荷性能，則難以將軟件配置到適合的ecu。

具體而言，搭載于車輛的多個ecu分別具有不同的性能，進而所設置的環境(例如溫度環境、防水環境等)也不相同，所以發生工作不良的概率不同。即，存在比較易于引起工作不良的ecu，另一方面還存在比較不易引起工作不良的ecu。在這樣的狀況下若僅考慮ecu的空閑容量、處理負荷性能來配置軟件，則用于實現重要的功能的軟件(例如在行駛中不可欠缺的基本軟件)有時會被配置到易于引起工作不良的ecu中。在該情況下，車輛的魯棒性會降低。

本發明提供一種在具備多個ecu的車輛中能夠將軟件配置于適合的ecu的車輛用軟件分配系統。

本發明的第一方式提供一種車輛用軟件分配系統，具備：

多個ecu，在車輛中與共同的網絡連接，能夠執行與經由所述網絡配置的軟件對應的控制；

第一取得部，構成為關于所述多個ecu的各個，取得第一等級值，發生工作不良的概率越高則所述第一等級值越高；

第二取得部，構成為關于追加地配置于所述多個ecu的追加軟件，取得第二等級值，所述追加軟件的重要度越高則所述第二等級值越高；

決定部，構成為以所述追加軟件的所述第二等級值越高則配置到所述第一等級值越低的ecu的方式，從所述多個ecu中決定配置所述追加軟件的ecu；以及

配置部，將所述追加軟件配置到所決定的所述ecu。

根據上述方式的車輛用軟件分配系統，表示重要度的高低的第二等級值越高的軟件，被配置到表示發生工作不良的概率的高低的第一等級值越低(即，不易發生工作不良)的ecu，所以能夠提高車輛的魯棒性。

在第一方式中，所述第一等級值也可以是根據所述車輛中的所述多個ecu各自的設置位置而設定的值。

在ecu中發生工作不良的概率較大地依賴于設置了ecu的環境(車輛中的設置位置)。因此，如果利用ecu的設置位置，則能夠恰當地設定第一等級值。

在第一方式中，所述第二等級值也可以是根據按照所述追加軟件執行的控制的內容而設定的值。

根據該方式，能夠根據按照追加軟件執行的控制的內容，恰當地設定第二等級值。

在第一方式中，所述決定部也可以構成為以滿足在所述追加軟件與所述多個ecu各自控制的被控制部之間要求的響應性的方式，決定配置所述追加軟件的ecu。

根據該方式，能夠將追加軟件配置到能夠在與被控制部之間實現高的響應性的ecu。

在第一方式中，所述決定部也可以構成為以所述追加軟件的所述第二等級值越高則配置到所述第一等級值越低的ecu的方式、并且以滿足在所述追加軟件與已配置于所述多個ecu的現有軟件之間要求的通信速度的方式，決定配置所述追加軟件的ecu。

根據該方式，能夠將追加軟件配置到能夠在與現有軟件之間實現高的通信速度的ecu。

在第一方式中，所述決定部也可以構成為以所述追加軟件的所述第二等級值越高則配置到所述第一等級值越低的ecu的方式、并且以滿足所述追加軟件要求的電力的供給定時的方式，決定配置所述追加軟件的ecu。

根據該方式，能夠將追加軟件配置到能夠對追加軟件在適合的定時供給電力的ecu。

第一方式的車輛用軟件分配系統還可以具備判定部，在所決定的所述ecu中配置所述追加軟件的容量不足的情況下，所述判定部判定在所決定的所述ecu中是否配置有所述第二等級值比所述追加軟件低的低等級軟件。在該方式中，所述配置部也可以構成為在所決定的所述ecu中配置有所述低等級軟件的情況下，從所決定的所述ecu刪除所述低等級軟件，并且將所述追加軟件配置到所述低等級軟件被刪除的所決定的所述ecu。

根據該方式，即使在想要配置追加軟件的ecu的容量不足的情況下，也能夠通過低等級軟件的刪除來配置追加軟件。

在上述方式中，所述配置部也可以構成為將從所決定的所述ecu刪除的所述低等級軟件重新配置到所述多個ecu中的、所述第一等級值比所決定的所述ecu高的第二ecu。

在該情況下，低等級軟件配置于第二ecu，所以能夠避免低等級軟件的功能損失。

在第一方式中，所述決定部也可以構成為將配置于所述多個ecu中的第三ecu、且判斷為由于所述第三ecu的故障而應拷貝到其它ecu的軟件，處理為所述追加軟件。

根據該方式，即使在配置有軟件的第三ecu中發生了故障的情況下，也能夠重新配置到適合的ecu中。

本發明的第2方式提供一種車輛用軟件分配系統。所述第2方式的車輛用軟件分配系統具備：

多個ecu，在車輛中與共同的網絡連接，能夠執行與經由所述網絡配置的軟件對應的控制；

第一取得部，構成為關于所述多個ecu的各個，取得第一等級值，發生工作不良的概率越高則所述第一等級值越高；

第二取得部，構成為關于追加地配置于所述多個ecu中的追加軟件，取得第二等級值，所述追加軟件的重要度越高則所述第二等級值越高；

決定部，構成為從所述多個ecu中決定滿足所述追加軟件的所述第二等級值越高則能夠配置所述追加軟件的所述ecu的所述第一等級值越低的要求的、配置所述追加軟件的ecu；以及

配置部，構成為將所述追加軟件配置到所決定的所述ecu。

附圖說明

下面參照附圖對本發明具體實施方式的特征、有益效果以及技術和工業意義進行說明，附圖中相同的數字表示相同的部件，并且其中：

圖1是示出第一實施方式的車輛用軟件分配系統的結構的框圖。

圖2是示出第一實施方式的車輛用軟件分配系統的工作的流程的流程圖。

圖3是示出軟件等級值和ecu等級值的匹配處理的流程的流程圖。

圖4是示出軟件等級值的具體例的表。

圖5是示出ecu等級值的具體例的表。

圖6是示出與軟件的結合條件有關的匹配處理的流程的流程圖。

圖7是示出與響應性條件有關的匹配處理的一個例子的概念圖。

圖8是示出與通信速度條件有關的匹配處理的一個例子的概念圖。

圖9是示出與電源定時條件有關的匹配處理的一個例子的概念圖。

圖10是示出第二實施方式的車輛用軟件分配系統的工作的流程的流程圖。

圖11是示出軟件的可配置判定處理的流程的流程圖。

圖12是示出第三實施方式的車輛用軟件分配系統的工作的流程的流程圖。

具體實施方式

根據附圖，說明本發明的實施方式的車輛用軟件分配系統。

<第一實施方式>

參照圖1至圖9，說明第一實施方式的車輛用軟件分配系統。以下，依次說明車輛用軟件分配系統的結構、車輛用軟件分配系統的整體工作、與等級值有關的匹配處理、與結合條件有關的匹配處理、通過車輛用軟件分配系統得到的技術效果。

<車輛用軟件分配系統的結構>

首先，參照圖1，說明第一實施方式的車輛用軟件分配系統的結構。此處，圖1是示出第一實施方式的車輛用軟件分配系統的結構的框圖。

在圖1中，第一實施方式的車輛用軟件分配系統10搭載于汽車等車輛，構成為與車外的服務器600能夠無線通信。從車外的服務器600能夠下載例如新軟件等各種信息。車輛用軟件分配系統10構成為具備統一控制電子控制單元(ecu)100、第一ecu210、第二ecu220、第三ecu230、第四ecu240、第一致動器驅動器310、第二致動器驅動器320、第一智能傳感器410、第二智能傳感器420、第一致動器510以及第二致動器520。

統一控制ecu100是具有中央處理單元(cpu)等運算電路的控制單元，構成為能夠執行第一ecu210、第二ecu220、第三ecu230以及第四ecu240(以下有時將它們集中稱為“多個ecu200”。另外，有時指第一ecu210、第二ecu220、第三ecu230以及第四ecu240中的任意一個而稱為“ecu200”)各自的控制(包括狀態管理)。在統一控制ecu100中，作為在其內部實現的邏輯上或者物理上的處理塊，具備ecu等級值取得部110、軟件等級值取得部120、配置目的地決定部130、軟件配置部140。

ecu等級值取得部110構成為能夠根據車輛中的ecu200的設置位置來取得表示在ecu200中發生工作不良的概率的高低的ecu等級值。做成在ecu等級值取得部110中取得的ecu等級值被輸出到配置目的地決定部130的結構。關于ecu等級值，在后面詳述。

軟件等級值取得部120構成為能夠取得表示要配置于ecu200或者配置于ecu200的軟件的重要度的軟件等級值。做成在軟件等級值取得部120中取得的軟件等級值被輸出到配置目的地決定部130的結構。關于軟件等級值，在后面詳述。

配置目的地決定部130構成為能夠決定應配置到ecu200的軟件的配置目的地。即，配置目的地決定部130從第一ecu210、第二ecu220、第三ecu230以及第四ecu240中，決定應配置軟件的ecu200(以下適當地稱為“配置目的地ecu”)。關于配置目的地ecu的具體的決定方法，在后面詳述。做成與配置目的地ecu有關的信息被輸出到軟件配置部140的結構。

軟件配置部140構成為能夠執行用于在配置目的地ecu配置軟件的寫入處理。另外，軟件配置部140構成為還能夠執行刪除在ecu200中配置的軟件的處理。

第一ecu210、第二ecu220、第三ecu230以及第四ecu240通過網關相互連接。另外，第一ecu210、第二ecu220、第三ecu230以及第四ecu240分別通過網關連接于統一控制ecu100。即，統一控制ecu100和各ecu200構成為可經由網關相互通信。ecu200是通過在其內部配置軟件來能夠執行與軟件對應的處理的控制單元。此外，ecu200的數量是兩個以上即可，并非如本實施方式那樣限定于四個。

第一致動器驅動器310以及第二致動器驅動器320是構成為能夠分別控制第一致動器510以及第二致動器520的驅動器。第一致動器驅動器310經由第一本地通信，與第一ecu210以及第二ecu220連接，根據來自這些ecu200的指令，控制第一致動器510的動作。另一方面，第二致動器驅動器320經由第二本地通信，與第三ecu230以及第四ecu220連接，根據來自這些ecu200的指令，控制第二致動器520的動作。

第一智能傳感器410以及第二智能傳感器420是傳感器和其信號處理電路被一體化的集成電路類型的傳感器，構成為能夠檢測車輛內部或者外部的各種信息。

第一致動器510以及第二致動器520構成為能夠實現車輛中的機械性的動作。

<車輛用軟件分配系統的整體工作>

接下來，參照圖2，說明第一實施方式的車輛用軟件分配系統10的整體工作。此處，圖2是示出第一實施方式的車輛用軟件分配系統的工作的流程的流程圖。此外，圖2所示的各處理是在統一控制ecu100中執行的處理。

在圖2中，在第一實施方式的車輛用軟件分配系統10工作時，首先判定是否有向ecu200的軟件的配置要求(步驟s101)。該配置要求不僅包括安裝新的軟件的情況的要求，而且還包括使已經配置的軟件移動的情況的要求。在沒有軟件的配置要求的情況下(步驟s101：“否”)，省略以后的處理而結束一連串的處理。

在有軟件的配置要求的情況下(步驟s101：“是”)，判定是否存在存儲器容量以及處理負荷有富余的ecu200(步驟s102)。具體而言，判定是否存在剩有記錄想要新配置的軟件(以下適當地稱為“追加軟件”)的存儲器容量并且處理負荷有即使配置追加軟件也能夠工作的程度的富余的ecu200。統一控制ecu100例如根據自身管理的ecu200的管理信息，進行上述判定處理。在不存在存儲器容量以及處理負荷有富余的ecu200的情況下(步驟s102：“否”)，省略以后的處理而結束一連串的處理。即，判斷為在當前時間點無法將軟件配置到ecu200，不將軟件配置到ecu200而結束一連串的處理。

在存在存儲器容量以及處理負荷有富余的ecu200的情況下(步驟s102：“是”)，判定是否存在與用于配置軟件的條件匹配的ecu200(步驟s103)。具體而言，判定是否存在ecu等級值與追加軟件的軟件等級值匹配的ecu200。關于該步驟s103的處理，在后面詳細說明。在不存在與用于配置追加軟件的條件匹配的ecu200的情況下(步驟s103：“否”)，省略以后的處理而結束一連串的處理。即，判斷為在當前時間點無法將軟件配置到ecu200，不將軟件配置到ecu200而結束一連串的處理。

在存在一個以上的與用于配置追加軟件的條件匹配的ecu200的情況下(步驟s103：“是”)，執行用于決定配置目的地ecu的處理(步驟s104)。即，執行用于從在步驟s103中判定出的與用于配置追加軟件的條件匹配的ecu200中決定實際配置追加軟件的ecu200的處理。在步驟s104中，進一步執行與此前執行的匹配處理不同的觀點的匹配處理(具體而言，基于結合條件的匹配處理)。關于步驟s104的處理，在后面詳細說明。

當決定了配置目的地ecu時，執行將追加軟件配置到配置目的地ecu的處理(步驟s105)。通過以上的處理，結束利用車輛用軟件分配系統10進行的軟件的配置處理。

<與等級值有關的匹配處理>

接下來，參照圖3至圖5，詳細說明圖2的步驟103的處理(與等級值有關的匹配處理)。此處，圖3是示出軟件等級值和ecu等級值的匹配處理的流程的流程圖。另外，圖4是示出軟件等級值的具體例的表，圖5是示出ecu等級值的具體例的表。

在圖3中，當開始步驟s103的處理時，執行與追加軟件的軟件等級值有關的判定(步驟s201)。軟件等級值是例如以下那樣決定的值。

如圖4所示，根據軟件的重要度，決定軟件等級值。軟件等級值是按照0～9這10個階段表示的值，軟件的重要度越高，成為越大的值。此外，此處的“重要度”是指，表示軟件執行的控制的重要性的值，在本實施方式中使用軟件未正常地工作的情況下可能發生的不合適的影響度。作為一個例子，“重要度”也可以根據在軟件未正常地工作的情況下對車輛的行駛時的安全性造成的影響的大小來決定。作為另一例子，“重要度”也可以根據在軟件未正常地工作的情況下對車輛的行駛功能造成的影響的大小來決定。

在本實施方式中，具體而言，由于工作不良而有重大事故的可能性的軟件的軟件等級值是“9”。由于工作不良而有輕微事故的可能性的軟件的軟件等級值是“8”。由于工作不良而發生不規則的事態而用戶感到不滿的軟件的等級值是“7”。由于工作不良而車輛的行駛功能至少部分性地停止而用戶感到不滿的軟件的等級值是“6”。由于工作不良而車輛的行駛性能降低或者附加功能停止而用戶感到不滿的軟件的等級值是“5”。由于工作不良而發生便利功能的麻煩或者多個用戶感到不愉快的軟件的等級值是“4”。由于工作不良而少數的用戶感到不愉快的軟件的等級值是“3”。由于工作不良而極其少數的用戶感到不愉快的軟件的等級值是“2”。能夠忽略工作不良所致的影響的軟件的等級值是“1”。即便在所有車輛中發生工作不良也沒關系的程度的軟件的等級值是“0”。

返回到圖3，在步驟s201的判定中，根據軟件等級值，決定在其以后執行的處理。具體而言，檢索與軟件等級值對應的ecu等級值的ecu200是否存在于存儲器容量以及處理負荷有富余的ecu200(參照圖2的步驟102)之中。此外，ecu等級值是用d～s這5個階段表示的值，ecu200中的工作不良的發生概率越高，成為越高的值。ecu等級值從高的一方起為d>c>b>a>s的順序，越接近d，越易于發生工作不良，越接近s，越不易發生工作不良。此外，此處的“工作不良”意味著ecu200無法正常地進行工作的狀態，不僅包括完全停止工作的情況，而且還包括無法進行一部分工作或者工作延遲的情況等。

如圖5所示，根據各ecu200在車輛中的配置位置(配置環境)決定ecu等級值即可。具體而言，關于配置于發動機室的周邊的ecu200的ecu等級值，在配置于碰撞試驗時的故障發生率高的場所的情況下為“d”，除此以外在溫度環境可能成為105℃以上的情況下為“c”，其它為“b”。關于配置于車廂的周邊的ecu200的ecu等級值，在配置于碰撞試驗時的故障發生率高的場所的情況下為“d”，除此以外在溫度環境可能成為90℃以上的情況下為“b”，在溫度環境可能成為70℃以上且小于90℃的情況下為“a”，其它為“s”。關于配置于行李廂的周邊的ecu200的ecu等級值，在配置于碰撞試驗時的故障發生率高的場所的情況下為“d”，除此以外在溫度環境可能成為90℃以上的情況下為“b”，在溫度環境可能成為70℃以上且小于90℃的情況下為“a”，其它為“s”。

再次返回到圖3，在軟件等級值是0或者1的情況下，檢索是否存在ecu等級值是d～s的ecu200(步驟s202)。在軟件等級值是2或者3的情況下，檢索是否存在ecu等級值是c～s的ecu200(步驟s203)。在軟件等級值是4或者5的情況下，檢索是否存在ecu等級值是b～s的ecu200(步驟s204)。在軟件等級值是6或者7的情況下，檢索是否存在ecu等級值是a～s的ecu200(步驟s205)。在軟件等級值是8或者9的情況下，檢索是否存在ecu等級值是s的ecu200(步驟s206)。這樣，想要配置的軟件的軟件等級值越高，作為配置目的地ecu，要求ecu等級值越高的ecu200。

上述步驟s202～s206的檢索處理的結果，在存在軟件等級值和ecu等級值匹配的ecu200的情況下(步驟s207：“是”)，能夠判斷為存在與條件匹配的ecu200，所以步驟s103的判定結果為“是”。另一方面，在不存在軟件等級值和ecu等級值匹配的ecu200的情況下(步驟s207：“否”)，能夠判斷為不存在與條件匹配的ecu200，所以步驟s103的判定結果為“否”。

<與結合條件有關的匹配處理>

接下來，參照圖6，說明圖2的步驟s104的處理(與結合條件有關的匹配處理)。此處，圖6是示出與軟件的結合條件有關的匹配處理的流程的流程圖。

在圖6中，當開始步驟s104的處理時，判定在追加軟件中是否有結合條件(步驟s301)。此外，此處的“結合條件”是指，為了按照與通過追加軟件來控制的車輛的各部的關系、與在各ecu200中已經配置的其它軟件的關系、與各ecu200的工作條件的關系進行適合的控制而對追加軟件的配置位置施加的條件。此外，在追加軟件中不存在結合條件的情況下(步驟s301：“否”)，從在步驟s103中判定為軟件等級值和ecu等級值匹配的ecu中，決定配置目的地ecu即可(步驟s304)。

在追加軟件中存在結合條件的情況下(步驟s301：“是”)，執行用于選定與結合條件匹配的ecu200的結合條件匹配處理(步驟s302)。在本實施方式的結合條件匹配處理中，執行與響應性條件、通信速度條件以及電源定時條件有關的匹配處理。

在與響應性條件有關的匹配處理中，判定在步驟s103中判定為軟件等級值和ecu等級值匹配的ecu200中是否存在能夠滿足在追加軟件與通過追加軟件控制的部位(例如第一致動器驅動器310及第二致動器驅動器320、以及第一智能傳感器410及第二智能傳感器420等)之間要求的響應性的ecu200。

在與通信速度條件有關的匹配處理中，判定在步驟s103中判定為軟件等級值和ecu等級值匹配的ecu200中是否存在能夠滿足在追加軟件與在各ecu200中已經配置的其它軟件之間要求的通信速度的ecu200。

在與電源定時條件有關的匹配處理中，判定在步驟s103中判定為軟件等級值和ecu等級值匹配的ecu200中是否存在滿足追加軟件所要求的電源定時(即為了執行基于軟件的處理而要求電力供給的定時)的ecu200。

如果與各條件有關的匹配處理結束，則判定為與條件匹配的ecu200被決定為配置目的地ecu(步驟s303)。此外，在存在多個條件的情況下，優選為與其全部條件匹配的ecu200被決定為配置目的地ecu。另外，在不存在滿足條件的ecu200的情況下，將匹配程度(即表示何種程度地滿足條件的值)最高的ecu200決定為配置目的地ecu即可。

以下，參照圖7至圖9，具體地說明基于上述各種條件的匹配處理。此處，圖7是示出與響應性條件有關的匹配處理的一個例子的概念圖，圖8是示出與通信速度條件有關的匹配處理的一個例子的概念圖。另外，圖9是示出與電源定時條件有關的匹配處理的一個例子的概念圖。此外，在以下所示的例子中，設為第一ecu210、第二ecu220、第三ecu230以及第四ecu240全部在上述步驟s103的處理中被判定為等級值匹配。

在圖7中，考慮如下情況：在第一ecu210中已經配置了軟件a以及軟件b、在第二ecu220中已經配置了軟件c以及軟件d、在第三ecu230中已經配置了軟件e以及軟件f、在第四ecu240中已經配置了軟件g以及軟件h的前提下，想要配置新的軟件i。此外，軟件i是用于執行與第一智能傳感器410有關的處理的軟件，是在與第一智能傳感器410之間要求高的響應性的軟件。

在該情況下，如果軟件i的配置目的地ecu是第一ecu210或者第二ecu220，則能夠經由第一本地通信來與第一智能傳感器410通信。另一方面，如果軟件i的配置目的地ecu是第三ecu230或者第四ecu240，則如果不僅不經由第一本地通信而且不經由網關，則無法與第一智能傳感器410通信。在要求經由網關的通信的情況下，相比于僅通過第一本地通信就能夠通信的情況，響應性降低。

在軟件i所要求的響應性是與僅通過本地通信就能夠通信的狀況相當的響應性的情況下，滿足響應性條件的ecu200是第一ecu210以及第二ecu220，第三ecu230以及第四ecu240不滿足響應性條件。因此，在該情況下，第一ecu210或者第二ecu220被選擇為軟件i的配置目的地ecu。

在圖8中，考慮在與圖7所示的例子同樣的前提下想要配置新的軟件j的情況。在此，特別地，軟件j是與在第四ecu240中配置的軟件g協作而執行處理的軟件。因此，對軟件j施加能夠與軟件g進行高速通信(即，能夠高速地進行進程間通信)這樣的條件。

在該情況下，如果軟件j的配置目的地ecu是第四ecu240，則能夠在同一ecu內進行通信。另一方面，如果軟件j的配置目的地ecu是第三ecu230，則經由第二本地通信進行通信，如果軟件j的配置目的地ecu是第一ecu210或者第二ecu220，則經由網關進行通信。軟件之間的通信速度在配置于同一ecu內的情況下最快，在經由第二本地通信或網關進行通信的情況下變慢。

在軟件j所要求的通信速度是與同一ecu內的通信速度相當的通信速度的情況下，滿足通信速度條件的ecu200僅為第四ecu240，其它第一ecu210、第二ecu220以及第三ecu230不滿足通信速度條件。因此，在該情況下，第四ecu240被選擇為軟件j的配置目的地ecu。

在圖9中，考慮在與圖7以及圖8所示的例子同樣的前提下想要配置新的軟件k的情況。在此，特別地，軟件k要求作為電源定時使用acc系電源。即，軟件k是要求在acc接通時供給電力的軟件。

在此，第一ecu210以及第四ecu240是不間斷電源系統的(即，能夠不間斷地供給電力的)ecu200。第二ecu220是acc電源系統的(即，在acc接通的情況下能夠供給電力的)ecu200。第3ecu230是ig電源系統的(即，在ig接通的情況下能夠供給電力的)ecu200。

軟件k所要求的電源定時是acc電源系統，所以作為acc電源系統的第二ecu220是滿足與電源定時有關的條件的ecu200。另外，關于作為不間斷電源系統的第一ecu210以及第四ecu240，也滿足與電源定時有關的條件。另一方面，作為ig電源系統的第三ecu230無法滿足電源定時條件。因此，在該情況下，第一ecu210、第二ecu220或者第四ecu240被選擇為軟件k的配置目的地ecu。

<實施方式的效果>

接下來，說明通過第一實施方式的車輛用軟件分配系統10得到的有益的技術效果。

如在圖1至圖9中說明那樣，根據第一實施方式的車輛用軟件分配系統10，不僅根據與存儲器容量以及處理負荷有關的條件，而且還根據與等級值有關的匹配以及與結合條件有關的匹配，決定配置目的地ecu。因此，能夠針對多個ecu200恰當地配置軟件。

具體而言，通過進行與等級值有關的匹配處理，能夠防止重要度高的軟件被配置于易于發生工作不良的ecu200。由此，能夠提高車輛的魯棒性。另外，通過進行與結合條件有關的匹配處理，能夠避免所配置的軟件無法進行適合的工作這樣的狀況。

此外，在第一實施方式中，不進行追加軟件的軟件等級值和已經配置在ecu200中的已配置軟件的軟件等級值的比較。因此，即使在追加軟件的軟件等級值高于已配置軟件的軟件等級值的情況下，也能夠在ecu等級值比配置有已配置軟件的ecu200高的(易于發生工作不良的)ecu200中配置追加軟件。即使在這樣的情況下，通過在能夠配置新的軟件的ecu200中的、ecu等級值更低的(不易發生工作不良的)ecu200中配置追加軟件，從而發揮上述技術效果。

<第二實施方式>

接下來，說明第二實施方式的車輛用軟件分配系統。此外，第二實施方式與已經說明的第一實施方式相比，只有一部分的工作不同，系統結構、其它大多部分大致相同。因此，以下詳細說明與第一實施方式不同的部分，關于其它重復的部分，適當地省略說明。

<車輛用軟件分配系統的整體工作>

首先，參照圖10，說明第二實施方式的車輛用軟件分配系統10的整體工作。此處，圖10是示出第二實施方式的車輛用軟件分配系統的工作的流程的流程圖。此外，在圖10中，對與在圖2中說明的處理同樣的處理，附加同一符號，關于其詳細的說明，適當地省略。

在圖10中，在第二實施方式的車輛用軟件分配系統10工作時，首先判定是否有向ecu200的軟件的配置要求(步驟s101)。在沒有軟件的配置要求的情況下(步驟s101：“否”)，省略以后的處理而結束一連串的處理。

在有軟件的配置要求的情況下(步驟s101：“是”)，判定是否存在與用于配置軟件的條件匹配的ecu200(步驟s103)。即，執行在圖3中說明的與等級值有關的匹配處理。此外，在不存在與用于配置軟件的條件匹配的ecu200的情況下(步驟s103：“否”)，省略以后的處理而結束一連串的處理。即，判斷為在當前時間點無法將軟件配置到ecu200中，不將軟件配置到ecu200而結束一連串的處理。

如從上述工作也可知，在第二實施方式中，省略第一實施方式中的步驟s102(參照圖2)。即，在該階段中，不判定是否存在存儲器容量以及處理負荷有富余的ecu200。

在存在與用于配置追加軟件的條件匹配的ecu200的情況下(步驟s103：“是”)，執行用于決定配置目的地ecu的處理(步驟s104)。即，執行在圖6中說明的與結合條件有關的匹配處理。

當決定了配置目的地ecu時，判定可否在配置目的地ecu中配置軟件(步驟s401)。步驟s401的處理是包括與存儲器容量以及處理負荷有關的判定(即與步驟s102同樣的處理)的處理。此外，關于步驟s401的具體的處理內容，在后面詳細說明。

在判定為在配置目的地ecu中無法配置軟件的情況下(步驟s401：“否”)，再次執行步驟s104的處理，決定新的配置目的地ecu。但是，從執行第二次以后的s104時的新的配置目的地ecu的候補去掉在步驟s401中判定為無法配置軟件的ecu200。此外，在關于所有ecu200判定為無法配置軟件的情況下，也可以進行不反復進行步驟s104以后的處理而結束一連串的處理的例外的處理。

在判定為在配置目的地ecu中能夠配置軟件的情況下(步驟s401：“是”)，執行將追加軟件配置到配置目的地ecu的處理(步驟s105)。通過以上的處理，利用車輛用軟件分配系統10配置軟件的配置處理結束。

<軟件的可配置判定處理>

接下來，參照圖11，說明作為第二實施方式所特有的處理的步驟s401的處理(軟件的可配置判定處理)。此處，圖11是示出軟件的可配置判定處理的流程的流程圖。

在圖11中，在軟件的可配置判定處理中，關于配置目的地ecu的存儲器容量以及處理負荷判定是否有配置追加軟件的富余(步驟s501)。即，僅針對配置目的地ecu，執行與第一實施方式的步驟s102(參照圖2)同樣的處理。此外，在判定為在配置目的地ecu中有配置追加軟件的富余的情況下(步驟s501：“是”)，省略以后的處理，步驟s401的判定結果為“是”。這是因為，如果在配置目的地ecu中有配置追加軟件的富余，則能夠沒問題地配置追加軟件。

在判定為在配置目的地ecu中沒有配置追加軟件的富余的情況下(步驟s501：“否”)，判定在配置目的地ecu中是否存在軟件等級值(即重要度)比追加軟件低的低等級軟件(步驟s502)。在配置目的地ecu中不存在低等級軟件的情況下(步驟s502：“否”)，判斷為在配置目的地ecu中無法配置追加軟件，步驟s401的判定結果為“否”。

在配置目的地ecu中存在低等級軟件的情況下(步驟s502：“是”)，判定能否通過從配置目的地ecu刪除低等級軟件來配置追加軟件(步驟s503)。即，判定能否通過低等級軟件的刪除而在配置目的地ecu的存儲器容量以及處理負荷中確保富余。此外，在配置目的地ecu中存在多個低等級軟件的情況下，判定能否通過刪除它們全部來配置追加軟件即可。在判定為即使刪除低等級軟件也無法配置追加軟件的情況下(步驟s503：“否”)，判斷為無法在配置目的地ecu中配置追加軟件，步驟s401的判定結果為“否”。

在判定為如果刪除低等級軟件則能夠配置追加軟件的情況下(步驟s503：“是”)，判定是否存在成為低等級軟件的移動目的地的ecu200(步驟s504)。即，判定是否存在能夠重新配置低等級軟件的其它ecu200。此外，在步驟s504的處理中，進行將低等級軟件作為追加軟件決定配置目的地ecu的處理(即圖2的步驟s101～s104的處理或者圖10的步驟s101至s401的處理)即可。在判定為不存在低等級軟件的移動目的地的情況下(步驟s504：“否”)，判斷為在配置目的地ecu中無法配置追加軟件，步驟s401的判定結果為“否”。

在判定為存在低等級軟件的移動目的地的情況下(步驟s504：“是”)，執行低等級軟件的移動(即重新配置)(步驟s505)。由此，在配置目的地ecu中確保了配置追加軟件的富余，所以步驟s401的判定結果為“是”。

<實施方式的效果>

接下來，說明通過第二實施方式的車輛用軟件分配系統10得到的有益的技術效果。

如參照圖10以及圖11說明那樣，根據第二實施方式的車輛用軟件分配系統10，即使在配置目的地ecu中沒有配置追加軟件的富余的情況下，如果能夠進行低等級軟件的重新配置，則由此確保配置追加軟件的富余。因此，能夠將追加軟件配置于更適合的ecu200中。

此外，低等級軟件是軟件等級值(即重要度)比追加軟件低的軟件，所以即使重新配置到其它ecu200中的情況下，也不會發生不合適。更準確而言，在從系統整體來看時，相比于無法將追加軟件配置于配置目的地ecu所致的不合適，重新配置低等級軟件所致的不合適的壞影響少。

如以上那樣，根據第二實施方式的車輛用軟件分配系統10，相比于第一實施方式能夠更恰當地配置軟件。

<第三實施方式>

接下來，說明第三實施方式的車輛用軟件分配系統。此外，第三實施方式與已經說明的第一以及第二實施方式相比，只有一部分的工作不同，系統結構、其它大多部分大致相同。因此，以下，詳細說明與第一或者第二實施方式不同的部分，關于其它重復的部分，適當地省略說明。

<車輛用軟件分配系統的整體工作>

參照圖12，說明第三實施方式的車輛用軟件分配系統10的整體工作。此處，圖12是示出第三實施方式的車輛用軟件分配系統的工作的流程的流程圖。此外，圖12所示的各處理是在統一控制ecu100中執行的處理。

在圖12中，在第三實施方式的車輛用軟件分配系統10工作時，判定在哪一個ecu200中發生了故障(步驟s601)。此外，此處的“故障”意味著，在ecu200中配置的軟件無法正常地發揮功能的程度的故障。在ecu200中未發生故障的情況下(步驟s601：“否”)，省略以后的處理，結束一連串的處理。

當在ecu200中發生了故障時，如果保持原樣則配置在ecu200中的軟件不能正常地發揮功能。在該情況下，如果將在故障的ecu200中配置的軟件拷貝到其它ecu200(即未故障的ecu200)，則能夠使其正常地發揮功能。在第三實施方式中，關于該應拷貝的軟件，執行步驟s602以后的處理。此外，在故障的ecu200中存在多個軟件的情況下，關于多個軟件分別執行步驟s602以后的處理即可。

在ecu200中發生了故障的情況下(步驟s601：“是”)，判定是否存在有能夠拷貝應拷貝的軟件(以下適當地稱為“拷貝軟件”)的富余的ecu200(步驟s602)。即，與第一實施方式的步驟s102(參照圖2)同樣地，判定是否存在存儲器容量以及處理負荷有富余的ecu200。此外，在判定為存在能夠拷貝拷貝軟件的ecu200的情況下(步驟s602：“是”)，針對該有富余的ecu200，實施拷貝軟件的拷貝(步驟s609)。

在判定為不存在能夠拷貝拷貝軟件的ecu200的情況下(步驟s602：“否”)，判定拷貝軟件的軟件等級值是否為2以上(步驟s603)。然后，在判定為拷貝軟件的軟件等級值小于2的情況下(步驟s603：“否”)，判斷為不實施拷貝軟件的拷貝(步驟s610)。即，軟件等級值極其低，所以判斷為即使不拷貝拷貝軟件(即，即使不使其正常地發揮功能)也不產生不合適。

在判定為拷貝軟件的軟件等級值是2以上的情況下(步驟s603：“是”)，判定是否存在與用于配置拷貝軟件的條件匹配的ecu200(步驟s604)。即，與第一實施方式的步驟s103的處理(參照圖3)同樣地，執行與等級值有關的匹配處理。另外，也可以除了與等級值有關的匹配處理以外，還進行在圖6中說明那樣的與結合條件有關的匹配處理。在不存在與用于配置拷貝軟件的條件匹配的ecu200的情況下(步驟s604：“否”)，能夠判斷為不存在能夠配置拷貝軟件的ecu200。其結果，判斷為不實施拷貝軟件的拷貝(步驟s610)。

在存在與用于配置拷貝軟件的條件匹配的ecu200的情況下(步驟s604：“是”)，判定在與條件匹配的ecu200中的哪一個中存在軟件等級值比拷貝軟件低的低等級軟件(步驟s605)。在與條件匹配的ecu200中不存在低等級軟件的情況下(步驟s605：“否”)，能夠判斷為不存在能夠配置拷貝軟件的ecu200。其結果，判斷為不實施拷貝軟件的拷貝(步驟s610)。

在與條件匹配的ecu200中存在低等級軟件的情況下(步驟s605：“是”)，判定能否通過從與條件匹配的ecu200刪除低等級軟件來配置拷貝軟件(步驟s606)。即，判定能否通過低等級軟件的刪除而在與條件匹配的ecu200的存儲器容量以及處理負荷中確保富余。此外，在與條件匹配的ecu200中存在多個低等級軟件的情況下，判定能否通過刪除它們全部來配置拷貝軟件即可。在判定為即使刪除低等級軟件也無法配置拷貝軟件的情況下(步驟s606：“否”)，能夠判斷為不存在能夠配置拷貝軟件的ecu200。其結果，判斷為不實施拷貝軟件的拷貝(步驟s610)。

在判定為如果刪除低等級軟件則能夠配置拷貝軟件的情況下(步驟s606：“是”)，判定系統的用戶是否同意低等級軟件的刪除(步驟s607)。關于該同意確認，既可以在該時間點進行，也可以事先(例如在配置時)進行。在系統的用戶不同意低等級軟件的刪除的情況下(步驟s607：“否”)，能夠判斷為不存在能夠配置拷貝軟件的ecu200。其結果，判斷為不實施拷貝軟件的拷貝(步驟s610)。

在系統的用戶同意低等級軟件的刪除的情況下(步驟s607：“是”)，執行低等級軟件的刪除(步驟s608)。此外，關于被刪除的低等級軟件，也可以如在第二實施方式中說明那樣重新配置到其它ecu200中。當完成低等級軟件的刪除時，在刪除后的ecu200中實施拷貝軟件的拷貝(步驟s609)。

在實施拷貝軟件的拷貝之后或者判斷為不實施拷貝之后，判定是否關于所有拷貝軟件(即在故障的ecu200中配置的所有軟件)完成上述步驟s602以后的處理(步驟s611)。在未關于所有拷貝軟件完成步驟s602以后的處理的情況下(步驟s611：“否”)，關于其它未完成的軟件，執行步驟s602以后的處理。在關于所有拷貝軟件完成了步驟s602以后的處理的情況下(步驟s611：“是”)，結束第三實施方式的利用車輛用軟件分配系統10進行的一連串的處理。

<實施方式的效果>

最后，說明通過第三實施方式的車輛用軟件分配系統10得到的有益的技術效果。

如參照圖12說明那樣，根據第三實施方式的車輛用軟件分配系統10，即使在ecu200中發生故障，無法正常地發揮軟件的功能的情況下，也能夠通過將在故障的ecu200中配置的軟件拷貝到其它正常的ecu200，從而恢復正常的功能。

另外，在拷貝在故障的ecu200中配置的軟件時，與第一實施方式以及第二實施方式同樣地，判定是否為與各種條件匹配的ecu200。因此，能夠防止將軟件拷貝到不適合的ecu200中。進而，與第二實施方式同樣地，還判定能否刪除低等級軟件，所以能夠將軟件拷貝到更適合的ecu。

本發明不限于上述實施方式，能夠在不違反從說明書整體讀取的發明的要旨或者思想的范圍內適當地變更，伴隨這樣的變更的車輛用軟件分配系統也包含于本發明的技術范圍內。

例如，在上述實施方式中，搭載于車輛的統一控制ecu100進行了軟件的分配，但也可以由車外的服務器600進行軟件的分配。