Brevet FR3079993A1 — publié le 20191011

PROCEDE DE MISE A JOUR A DISTANCE D'UN LOGICIEL EMBARQUE DE VEHICULE [0001] La présente invention concerne de manière générale un procédé de mise à jour à distance d'un logiciel embarqué sur un véhicule automobile. [0002] Il est connu dans l'art antérieur des méthodes de mise à jour de logiciels embarqués. Par exemple, le document KR101091464 décrit un procédé de mise à jour sans fil. L'état de charge de la batterie est vérifié suite à la réception d'un message d'un serveur distant pour une mise à jour. Si les conditions de charge de la batterie ne satisfont pas une condition prédéterminée, alors le message de mise à jour est stocké en mémoire au lieu d'être affiché. Cependant, ce document ne propose aucune solution pour effectuer une mise à jour économe en énergie. [0003] Un but de la présente invention est de répondre aux inconvénients de l'art antérieur mentionnés ci-dessus et en particulier, tout d'abord, de proposer un procédé de mise à jour de logiciel embarqué d'un véhicule, qui minimise les besoins en énergie, de sorte à laisser le véhicule avec une réserve d'énergie optimale (pour démarrer à nouveau ou permettre une réinstallation du logiciel selon sa configuration initiale, si une erreur intervient). [0004] Pour cela, un premier aspect de l'invention concerne un procédé de mise à jour à distance d'un logiciel embarqué dans une unité de stockage informatique d'un véhicule comprenant au moins une interface homme machine avec un afficheur, le procédé comprenant les étapes consistant à: - détecter une présence d'un occupant dans le véhicule, - si aucun occupant n'est présent dans le véhicule, alors le procédé effectue 2 la mise à jour à distance et comprend une étape d'utilisation de l'afficheur de l'interface homme machine selon un mode économique. Le procédé selon l'invention, lorsque l'occupant n'est pas dans le véhicule, effectue la mise à jour selon un mode d'affichage économique, c'est-à-dire sans afficher les 5 traditionnelles informations sur la progression de mise à jour. En d'autres termes, le procédé comprend une étape consistant à vérifier que le véhicule est vide, et alors, dans ce contexte et en cours de mise à jour, aucune information sur la progression ou l'état de la mise à jour n'est affichée, ce qui économise les réserves d'énergie (batteries) du véhicule. Cela permet de 10 disposer d'une réserve d'énergie supplémentaire s'il faut recommencer une autre mise à jour, ou revenir à la version précédemment installée (roll back en langue anglaise) en cas d'erreur ou incompatibilité détectée. [0005] Avantageusement, au cours de l'étape d'utilisation de l'afficheur de l'interface homme machine selon le mode économique, 15 l'afficheur n'est utilisé : - que pour afficher un rapport final de mise à jour sur ladite au moins une interface homme machine, par exemple au retour d'un occupant dans le véhicule, et/ou - que si un occupant rentre dans le véhicule avant la fin de la mise à jour. En 20 effet, seul un rapport final est affiché, idéalement seulement au retour d'un occupant dans le véhicule. Cependant, si un occupant rentre dans le véhicule en cours de mise à jour selon le mode économique, alors le procédé peut comprendre une étape d'affichage pour informer l'occupant de la mise à jour en cours. 25 [0006] Autrement dit, la mise à jour est effectuée sans envoyer, au cours de la mise à jour, de message informatif d'un état ou d'une progression de mise à jour sur ladite au moins une interface homme machine. [0007] Autrement dit, la mise à jour est effectuée en laissant toutes les unités d'interface homme machine du véhicule inactives. 3 [0008] Avantageusement, l'étape consistant à détecter une présence dans le véhicule comprend : - une étape consistant à détecter une action de verrouillage du véhicule lorsqu'il est à l'arrêt, et/ou 5 - une étape consistant à envoyer un message interrogatif sur ladite au moins une unité d'interface homme machine et à ne pas recevoir de réponse dans un temps prédéterminé, et/ou, - une étape consistant à vérifier un état d'inoccupation des sièges du véhicule, et/ou 10 - une étape consistant à vérifier une absence d'une clé de démarrage dans le véhicule. [0009] Avantageusement, l'étape consistant à détecter une présence dans le véhicule conduit à considérer le véhicule sans occupant si : - l'étape consistant à envoyer un message interrogatif sur ladite au moins une 15 unité d'interface homme machine n'a pas reçu de réponse dans un temps prédéterminé (par exemple une minute), et si - l'étape consistant à vérifier une présence d'une clé de démarrage dans le véhicule se conclut par une absence de clé dans le véhicule (pas de présence de clé dans un barillet de colonne de direction, ou pas de détection 20 de clé de démarrage sans contact dans l'habitacle). [0010] Alternativement, on peut considérer le véhicule sans occupant si tous les sièges sont équipés de capteur de présence occupant, et si aucun des capteurs de présence occupant n'est activé. [0011] Avantageusement, le procédé de mise à jour comprend 25 une étape initiale de connexion à un serveur distant, et de réception d'une demande de mise à jour. [0012] Avantageusement, l'étape de mise à jour est effectuée uniquement lorsque le véhicule est à l'arrêt. [0013] Avantageusement, si un occupant est présent dans le 30 véhicule, alors la mise à jour : 4 - est repoussée si elle ne comporte pas de caractère prioritaire, et l'étape de détection de présence est réitérée après la détection d'une ouverture de porte et/ou d'un verrouillage du véhicule ; - est tout de même effectuée si elle comporte un caractère prioritaire. 5 [0014] Avantageusement, si un occupant est présent dans le véhicule, alors la mise à jour est précédée d'une étape consistant à vérifier un niveau d'énergie disponible dans le véhicule, et le procédé comprend une étape d'affichage d'une invitation à effectuer la mise à jour en affichant uniquement un rapport final de mise à jour sur ladite au moins une interface 10 homme machine, si le niveau d'énergie disponible dans le véhicule est insuffisant pour effectuer la mise à jour avec une utilisation de ladite au moins une interface homme machine au cours de la mise à jour. En d'autres termes, si un occupant est présent, il peut décider de lancer la mise à jour en utilisant un mode de mise à jour dit économique (sans retour d'information au cours 15 de la mise à jour). [0015] Avantageusement, l'étape de mise à jour est précédée d'une étape consistant à vérifier un niveau d'énergie disponible dans le véhicule, et l'étape de mise à jour est effectuée uniquement lorsque le niveau d'énergie disponible est supérieur à une réserve minimale prédéterminée. 20 [0016] Avantageusement, le procédé de mise à jour comprend une étape de réinstallation de la version initiale du logiciel, si une erreur ou incompatibilité est détectée lors de la mise à jour. [0017] Avantageusement, l'étape de mise à jour est réalisée en établissant une connexion sans fil avec un serveur distant. La mise à jour est 25 téléchargée par une connexion sans fil (par ondes radio). [0018] Un second aspect de l'invention concerne un support mémoire lisible par ordinateur, avec un programme d'ordinateur agencé pour faire exécuter le procédé de l'une des revendications précédentes par une unité de calcul. 5 [0019] Un troisième aspect de l'invention concerne un véhicule automobile, comprenant au moins un support mémoire lisible par ordinateur, avec un programme d'ordinateur agencé pour faire exécuter le procédé de mise à jour selon le premier aspect de l'invention par une unité de calcul du 5 véhicule. En d'autres termes, la mise en oeuvre du procédé est locale, c'est-à-dire que toutes les étapes de décision sont mises en oeuvre par le véhicule, ce qui évite de communiquer avec le serveur distant. [0020] D'autres caractéristiques et avantages de la présente invention apparaîtront plus clairement à la lecture de la description détaillée 10 qui suit d'un mode de réalisation de l'invention donné à titre d'exemple nullement limitatif et illustré par les dessins annexés, dans lesquels : [0021] - la figure 1 représente un véhicule avec un organe géré par un logiciel qui doit être mis à jour selon le procédé de la présente invention ; 15 [0022] - la figure 2 représente un schéma des étapes mises en oeuvre par le procédé de la présente invention. [0023] La figure 1 représente un véhicule comprenant un organe 10 (par exemple un dispositif d'injection, un système multimédia embarqué, un dispositif de géolocalisation intégré au véhicule...) qui est géré ou piloté 20 par un logiciel stocké dans une unité de stockage informatique 20. [0024] Le véhicule comprend aussi une interface homme machine 60 avec un afficheur qui permet d'afficher notamment des informations multimédia, des paramètres ou informations du véhicule... Typiquement, l'interface homme machine 60 est un écran tactile placé sur la 25 planche de bord ou sur la console centrale pour afficher des messages ou informations à l'attention du conducteur ou des occupants du véhicule. [0025] En raison d'évolutions techniques, ou pour mettre en place des lois de commande tenant compte de retour d'expérience, il peut être nécessaire de faire évoluer la version du logiciel qui pilote cet organe 10, 6 par une mise à jour de la version antérieure (installée) vers une version actuelle (à installer donc). [0026] A cet effet, le véhicule comprend une unité de liaison sans fil 30 qui permet de se connecter à un serveur distant 40 via par 5 exemple une antenne relais téléphonique 45, pour télécharger une nouvelle version de ce logiciel et l'installer dans l'unité de stockage informatique 20. [0027] L'invention propose de faire cette mise à jour en minimisant les besoins énergétiques. En effet, il peut être décidé de faire les mises à jour seulement lorsque le véhicule est à l'arrêt, sur ses seules 10 réserves énergétiques stockées dans les batteries. [0028] En particulier, comme le montre la figure 2, le procédé peut commencer par vérifier si le véhicule est vide (V?). Pour ce faire, le procédé peut vérifier qu'aucune clé de démarrage n'est présente dans le véhicule, et envoyer une question (demande de validation présence par 15 exemple) sur l'interface homme machine 60, et qu'aucune réponse n'est reçue par exemple au bout d'une minute. [0029] A l'étape A, si le véhicule est vide, alors le procédé effectue la mise à jour en suivant un mode de fonctionnement économique (MAJ Eco). En particulier, le procédé effectue la mise à jour sans envoyer de 20 message de suivi de progression ou d'état de la mise à jour sur l'interface homme machine 60. Autrement dit l'interface homme machine 60 reste éteinte dans ce contexte de véhicule sans occupant, ainsi que tous les autres afficheurs éventuels du véhicule. [0030] Seul un message final indiquant qu'une mise à jour a été 25 effectuée est affiché, par exemple au démarrage suivant, ou lorsque l'occupant rentre à nouveau dans le véhicule. Il s'ensuit que la mise à jour n'a pas consommé d'énergie pour garder un afficheur allumé. 7 [0031] Si par contre le véhicule n'est pas vide, alors, le procédé peut envoyer une demande de validation à l'occupant pour effectuer la mise à jour en mode économique ou non (Eco ?). [0032] Si l'occupant valide cette demande, alors le procédé peut 5 passer à l'étape B et effectuer la mise à jour selon un mode économique (MAJ Eco), c'est-à-dire en n'envoyant qu'un message de rapport final sur l'afficheur de l'interface homme machine 60. [0033] Si l'occupant ne valide pas cette demande, alors à l'étape B, le procédé peut effectuer la mise à jour en affichant constamment 10 ou à plusieurs reprises, au cours de la mise à jour, un état ou une progression de cette mise à jour (MAJ Norm). [0034] Bien entendu, le procédé peut également vérifier si le véhicule dispose de suffisamment de réserve d'énergie électrique, et proposer des stratégies particulières en fonction de la réserve d'énergie 15 disponible. [0035] En particulier, toute mise à jour peut être repoussée si la réserve d'énergie est insuffisante, même en mode économique (réserve inférieure à une réserve minimale). Le procédé peut aussi repousser la mise à jour, ou forcer une mise à jour en mode économique si la réserve d'énergie 20 est suffisante pour effectuer la mise en jour sans utiliser l'afficheur au cours de la mise à jour, mais insuffisante pour effectuer la mise à jour en utilisant l'afficheur au cours de la mise à jour. [0036] Le procédé peut aussi proposer une stratégie particulière en fonction du caractère prioritaire de la mise à jour : si cette dernière 25 présente un caractère prioritaire (mise à jour réglementaire, ou d'un organe de sécurité), alors cette mise à jour est effectuée sans être repoussée, qu'il y ait un occupant, ou que cela soit nécessaire de l'effectuer en mode économique. 8 [0037] Si par contre, la mise à jour n'est pas prioritaire, alors le procédé peut décider de la repousser pour l'effectuer en mode économique lorsque le véhicule sera vide. Il suffit de réitérer l'étape de détection d'absence d'occupant à un moment ultérieure (si une portière s'ouvre et se 5 ferme, si une occupation de siège passe de « occupé » à « non occupé », si une clé de démarrage n'est plus détectée dans le véhicule), et si le véhicule est détecté vide d'occupant, alors la mise à jour peut intervenir. [0038] On comprendra que diverses modifications et/ou améliorations évidentes pour l'homme du métier peuvent être apportées aux 10 différents modes de réalisation de l'invention décrits dans la présente description sans sortir du cadre de l'invention. REVENDICATIONS1. Procédé de mise à jour à distance d'un logiciel embarqué dans une unité de stockage informatique (20) d'un véhicule comprenant au moins 5 une interface homme machine (60) avec un afficheur, le procédé comprenant les étapes consistant à: - détecter une présence d'un occupant dans le véhicule, - si aucun occupant n'est présent dans le véhicule, alors le procédé effectue la mise à jour à distance et comprend une étape d'utilisation de l'afficheur de 10 l'interface homme machine (60) selon un mode économique. 2. Procédé de mise à jour selon la revendication précédente, dans lequel au cours de l'étape d'utilisation de l'afficheur de l'interface homme machine (60) selon le mode économique, l'afficheur n'est utilisé : - que pour afficher un rapport final de mise à jour sur ladite au moins une 15 interface homme machine (60), par exemple au retour d'un occupant dans le véhicule, et/ou - que si un occupant rentre dans le véhicule avant la fin de la mise à jour. 3. Procédé de mise à jour selon l'une des revendications précédentes, dans lequel l'étape consistant à détecter une présence dans le 20 véhicule comprend : - une étape consistant à détecter une action de verrouillage du véhicule lorsqu'il est à l'arrêt, et/ou - une étape consistant à envoyer un message interrogatif sur ladite au moins une unité d'interface homme machine (60) et à ne pas recevoir de réponse 25 dans un temps prédéterminé, et/ou, - une étape consistant à vérifier un état d'inoccupation des sièges du véhicule, et/ou -10- - une étape consistant à vérifier une absence d'une clé de démarrage dans le véhicule. 4. Procédé de mise à jour selon l'une des revendications précédentes, comprenant une étape initiale de connexion à un serveur 5 distant, et de réception d'une demande de mise à jour. 5. Procédé de mise à jour selon l'une des revendications précédentes, dans lequel l'étape de mise à jour est effectuée uniquement lorsque le véhicule est à l'arrêt. 6. Procédé de mise à jour selon l'une des revendications 10 précédentes, dans lequel, si un occupant est présent dans le véhicule, alors la mise à jour : - est repoussée si elle ne comporte pas de caractère prioritaire, et l'étape de détection de présence est réitérée après la détection d'une ouverture de porte et/ou d'un verrouillage du véhicule ; 15 - est tout de même effectuée si elle comporte un caractère prioritaire. 7. Procédé de mise à jour selon l'une des revendications précédentes, dans lequel, si un occupant est présent dans le véhicule, alors la mise à jour est précédée d'une étape consistant à vérifier un niveau d'énergie disponible dans le véhicule, et le procédé comprend une étape 20 d'affichage d'une invitation à effectuer la mise à jour en affichant uniquement un rapport final de mise à jour sur ladite au moins une interface homme machine (60), si le niveau d'énergie disponible dans le véhicule est insuffisant pour effectuer la mise à jour avec une utilisation de ladite au moins une interface homme machine (60) au cours de la mise à jour. 25 8. Procédé de mise à jour selon l'une des revendications précédentes, dans lequel l'étape de mise à jour est précédée d'une étape consistant à vérifier un niveau d'énergie disponible dans le véhicule, et dans lequel l'étape de mise à jour est effectuée uniquement lorsque le niveau d'énergie disponible est supérieur à une réserve minimale prédéterminée. -11- 9. Procédé de mise à jour selon l'une des revendications précédentes, comprenant une étape de réinstallation de la version initiale du logiciel, si une erreur ou incompatibilité est détectée lors de la mise à jour. 10. Véhicule automobile, comprenant au moins un support mémoire lisible par ordinateur, avec un programme d'ordinateur agencé pour faire exécuter le procédé de l'une des revendications précédentes par une unité de calcul du véhicule.10