CN1508364A - 服务器切换控制装置 - Google Patents

Abstract

本发明提供一种服务器切换控制装置。建筑机械等车辆(50)和运行服务器(2)、专用更新服务器(3)之间的通信连接可以被切换。服务器和多台车辆(例如建筑机械)之间并行进行通常运行处理和程序更新处理时，数据的接收发送可以稳定进行。

Description

服务器切换控制装置

技术领域

本发明涉及与车辆内的通信终端接续的服务器进行切换控制的装置。

背景技术

近年来开发的建筑机械内装备有各种控制器用于收集诸如车辆所在位置、工作计时表的计时值(累计工作时间)、车身内发生的过去故障履历等车辆状态信息(以下称车辆状态数据)。这些车载控制器内通常设有CPU，可根据存储在闪速存储器等EEPROM(电擦除式ROM)中的车载程序的指令进行运算处理，收集车辆状态数据，和外部进行接收发送通信等处理。例如车载控制器和外部服务器通过互联网等通信手段可以实现随意的通信接续，将车载控制器收集的车辆状态数据传送给服务器，或者技术人员可以进入车辆将个人计算机和车载控制器连接后把车辆状态数据取入计算机。

在车载程序版本更新或者希望变更车辆的错误代码生成及异常判断的阈值等情况下，需要将上述闪速存储器内存储的旧车载程序重写更新为新车载程序。

(现有技术1)

在专利文献1(特开平10-212739号公报)中，关于建筑机械记述有如下发明。在设置工作数据收集用控制器的同时，在远距离地设置具有服务器功能的监视装置，这些收集工作数据的控制器和监视装置由通信装置连接，可以根据监视装置的要求对工作数据收集用控制器内的工作数据处理程序进行更新处理。正常运行时建筑机械内的工作数据收集用控制器按照工作数据处理程序的指令收集工作数据加以处理，根据来自监视装置的要求将处理过的工作数据传送给监视装置。更新程序时由监视装置将新的工作数据处理程序传送给建筑机械，在建筑机械内的工作数据收集用控制器将控制器中旧工作数据处理程序被更新为新的工作数据处理程序。

发明内容

(发明要解决的问题)

在更新车载程序的对象建筑机械有多台的情况下，希望让其中的一组建筑机械执行正常运行处理，而另一组建筑机械执行程序更新处理。

正常运行时因为服务器(监视装置)和建筑机械之间接收发送的只不过是诸如车辆所在位置、工作计时表的计时值、错误代码等数据，数据量很小，例如仅为数字节左右。但是程序更新时服务器(监视装置)和建筑机械之间传送的数据因为是程序，其数据量大到数百千字节，比正常运行时传送的数据量大几个数量级。

因此如果运行处理和更新处理同时用同一台服务器(监视装置)来进行的话，服务器(监视装置)在承受高负荷的同时占据通信信道。这样程序更新处理相当费时，服务器(监视装置)和正常运行的其它建筑机械之间的车辆状态数据传送就可能不能顺利进行。其结果导致服务器(监视装置)应该取得的车辆状态数据通信途中丢失或者迟迟不能收到数据，最坏情况甚至系统瘫痪给运行造成障碍。

由于建筑机械收集的车辆状态数据对于建筑机械的用户来说含有重要的信息，如果服务器(监视装置)不能适时取得车辆状态数据，从确保系统的品质来说是不能允许的。

此点在上述专利文献1中，没有用监视装置并行进行正常运行处理和更新处理的记述，并且也没有多台建筑机械之间进行更新处理的记述。

本发明针对这一现状，以服务器和多台车辆(例如建筑机械)之间并行进行正常的运行处理和更新处理时，数据的接收发送稳定进行为课题。

(解决问题的手段及作用、效果)

发明1的服务器切换控制装置其特征在于：

第1服务器2及第2服务器3通过通信方式14、15、8、9、10、11可和车辆50内的车载控制器20实现随意的通信连接。

这些第1服务器2及第2服务器3分别被赋予识别各自服务器的服务器识别ID(ID1、ID2)，同时车辆控制器被赋予和各第1服务器识别ID、第2服务器识别ID相对应的控制器识别ID(ID1、ID2)。

所述车辆控制器(20)内如果设定和第1服务器的识别ID(ID1)相对应的控制器识别ID(ID3)，则车辆控制器(20)和第1服务器(2)的通信连接成为可能状态，所述车辆控制器(20)内如果设定和第2服务器的识别ID(ID2)相对应的控制器识别ID(ID4)，则车辆控制器(20)和第2服务器(3)的通信连接成为可能状态。

本发明2为，根据本发明1所述的服务器控制切换装置，其特征在于：

第1服务器(2)是和车辆控制器(20)接收发送车辆状态数据的通常运行服务器(2)。

第2服务器(3)是更新车载控制器(20)内的车载程序时发送新车载程序的更新服务器(3)。

根据发明1、发明2如图8所示，车辆50可以在第1服务器2或者第2服务器3之间切换通信连接，因此在程序更新时服务器不会承受高负荷或者由于被数据量很大的程序发送所占据，服务器和多台车辆间的数据接收发送可以稳定进行。

根据本发明2，建筑机械等车辆50和通常运行服务器2及专用更新服务器3之间的通信连接可以切换，因此在多台建筑机械存在的情况下，能够让一些建筑机械和通常运行服务器2建立通信接续维持正常运行处理，与此并行其它建筑机械和专用更新服务器3建立通信接续进行程序更新处理。

附图说明

图1是表示本实施方式的系统总体构成的图。

图2是表示实施方式的更新处理过程的图。

图3(a)至(f)是表示闪速存储器、RAM的状态变化的图。

图4是表示覆盖不可数据区的图。

图5(a)至(d)是表示数据保护时闪速存储器、RAM的状态变化的图。

图6是表示数据保护时处理过程的图。

图7是表示和主文件之间数据查验处理过程的图。

图8是表示服务器切换处理过程的图。

图9是表示正常运行模式和更新模式切换处理过程的图。

图10是表示服务器和建筑机械的对应关系的图。

图中符号说明：

2：运行服务器；3：专用更新服务器；4、5：内部网；6、6′：主文件；7：互联网；8：地面波基地台；9、14、15：专用线；10：天线；11、31：无线通信；20：信息收集控制器；21：CPU；22：闪速存储器；23：RAM；30：通信控制器；50：建筑机械。

具体实施方式

图1所示为发明实施方式的装置总体构成。以下实施方式中假定车辆为建筑机械50，根据专用更新服务器3的指令对建筑机械50内的车载程序60进行遥控更新。

本实施方式的系统中，建筑机械50通过通信方式(无线通信11、天线10、专用线9、地面波基地台8、专用线14、15)分别和通常运行服务器2及更新服务器3实现随意的相互通信连接。

通常运行服务器2位于内部网4中，与互联网7相连。由此通常运行服务器2可作为互联网7、内部网4的各客户终端机的服务器起作用。该通常运行服务器2被赋予IP地址(即ID1)作为它在网络中的自识别ID(服务器识别ID)。建筑机械50内设有通信终端(通信控制器30)，它可以和通常运行服务器2通信。该通信终端被赋予和运行服务器识别ID(ID1)对应的IP地址(即ID3)，可参看图10。

专用更新服务器3位于内部网5中，与互联网7相连。由此专用更新服务器3可作为互联网7、内部网5的各客户终端机的服务器。该专用更新服务器3被赋予IP地址(即ID2)作为它在网络中的自识别ID(服务器识别ID)。建筑机械50内设有通信终端(通信控制器30)，它可以和专用更新服务器3通信。该通信终端被赋予和服务器识别ID(ID2)对应的IP地址(即ID4)，可参看图10。

其他建筑机械和服务器的对应关系也与此相同。

图10示出多台建筑机械50、50a、50b......和通常运行服务器2及专用更新服务器3的对应关系。

建筑机械50a内的通信终端被赋予和通常运行服务器2的服务器识别ID(ID1)对应的IP地址(ID5)，同时被赋予和专用更新服务器3的服务器识别ID(ID2)对应的IP地址(ID6)。

建筑机械50b内的通信终端被赋予和通常运行服务器2的服务器识别ID(ID1)对应的IP地址(ID7)，同时被赋予和更新服务器3的服务器识别ID(ID2)对应的IP地址(ID8)。

由各ID1、ID3、ID5、ID7......所特定的服务器和各通信终端构成一个内部网4。

同样，由各ID2、ID4、ID6、ID8......所特定的服务器和通信终端构成一个内部网5。

建筑机械50的车身内的通信控制器30设有内置的数据包通信用无线机。通信控制器30的天线31和地面波通信用天线10之间由无线通信11进行数据包通信。天线10通过专用线9和地面波基地台8相接。地面波基地台10例如可以是移动电话基地台。地面波基地台10通过专用线14、15分别和内部网4、5连接。

建筑机械50的车身内，除通信控制器30外还设有信息收集控制器20、发动机控制器40等各种控制器。这些控制器通过车身内的通信回线51连接并按照规定的通信规约可以相互通信。

建筑机械50的车身内，还配置有发动机57的冷却水传感器、电池53的电压传感器、GPS传感器等。这些传感器构成传感器群52。其中GPS传感器接收GPS卫星电波，可检测建筑机械50所在的绝对位置。建筑机械50的车身内还配置有日历，定时器。日历，定时器可对年月日时分秒计时。建筑机械50的车身内还配置有工作计时表SMR。工作计时表SMR可对发动机57的累计工作时间计时。

信息收集控制器20内，通过总线24，CPU21和闪速存储器22、RAM23(随机存取存储器)可相互进行数据存取。闪速存储器22是一种EEPROM(电擦除式ROM)。RAM23也可以用闪速存储器等EEPROM代用。闪速存储器22的指定区域内如后所述存储有车载程序60。闪速存储器22的指定区域内如后所述还存储有用于车载程序60更新处理的更新控制程序61。

CPU21按照车载程序60的指令进行运算处理，生成车辆状态数据并存储在RAM23的数据区内。

例如当设定起动锁定功能有效时，控制器读取日历、定时器的计时值，一旦进入设定的启动锁定时间范围便发出起动锁定设定指令进行起动锁定，一旦到达设定的启动锁定时间范围外便发出起动锁定解除指令解除起动锁定。

RAM23的数据区内存储有以下车辆状态数据：

·自己的IP地址(ID3、ID4)

·车载程序60的当前版本

·通信终端(通信控制器30)的开通检查完了信息

·建筑机械50的机种、型号、机号

·工作计测表SMR的计时值(累计工作时间)

·电池53的当前端电压(电池端电压信息)

·冷却水的温度

·GPS传感器检测的自车当前的绝对位置(绝对位置信息)

·车身内发生的错误代码履历

·当前车锁开关54是否开启(处于ACC位置)的车锁开关信息

·当前起动锁定有效还是无效、当前设定的起动锁定时间范围等起动锁定信息

总线24通过接口电路和信息收集控制器20外的工作计时表SMR、传感器群52以及车身内通信回线51相连接。

在本实施方式中通信控制器30和信息收集控制器20是分开设置的部件，作为通信终端的通信控制器30的IP地址(ID3、ID4)设定在信息收集控制器20内。也可以将通信控制器30和信息收集控制器20的功能合并在一个控制器内作为通信终端。

建筑机械50的车身内装有起动锁定回路55。

起动锁定回路55由继电器等构成，接在车锁开关54和起动发动机57的起动装置56之间。车载电池53是起动装置56的电源，也是各控制器20、30、40的电源。

当发动机控制器40发出起动锁定设定指令时，起动锁定回路55的继电器动作，进入起动锁定设定状态。即使车锁开关54处于接通位置(ACC位置)，电池53的端电压也不能加至起动马达56。由于起动马达56不动作，发动机57也就不能发动。反之，当发动机控制器40发出起动锁定解除指令时，起动锁定回路55的继电器释放，进入起动锁定解除状态。这样车锁开关54处于接通位置(ACC位置)时，起动马达56动作，发动机57得以发动。上述起动锁定设定、起动锁定解除指令系由信息收集控制器20根据车载程序60的控制，经由车身内通信回线51送给发动机控制器40。起动锁定设定、解除指令当起动锁定功能设定为“有效”时，由信息收集控制器20发出。信息收集控制器20根据信息收集控制器20内的日历，定时器的计时值判断是否进入了设定的起动锁定时间范围。

车锁开关54被接通(处于ACC位置)的信息由马达控制器40通过车身内通信回线51送至信息收集控制器20内。

？服务器的切换控制

通常运行服务器2管理着包括建筑机械50在内的多台建筑机械内的车辆状态数据。

专用更新服务器3是遥控进行车载程序60更新的服务器。

通常运行服务器2内备有主文件6，通常运行服务器2取得的最新车辆状态数据存储在主文件6内。

另一方面，专用更新服务器3内备有主文件6′。通常运行服务器2内的主文件6的存储数据经由互联网7送入专用更新服务器3，做成和主文件6存储内容相同的“复制品”主文件6′。

下面结合参照图8就建筑机械50和服务器接续的切换控制，说明建筑机械和哪一台服务器建立接续。

初始状态下，建筑机械50的车载控制器20中，和通常运行服务器2的识别ID“ID1”相对应的自己的IP地址“ID3”被设定为“有效”，而和专用更新服务器3的识别ID“ID2”相对应的自己的IP地址“ID4”被设定为“无效”(普通运行模式)。信息收集控制器20中被设定为“有效”的自己的IP地址数据“ID3”由信息收集控制器20通过车身内通信回线51送至通信控制器30内。

由通常运行服务器2发出的要求取得建筑机械50的车辆状态数据的指令通过专用线14、地面波基地台8、专用线9、天线10作为无线通信11传送至建筑机械50，由建筑机械50的天线31接收，该数据被送至通信控制器30。通常运行服务器2发送的该数据中含有服务器识别ID“ID1”。通信控制器30中，当前IP地址已设定为“ID3”，由于接收的数据中含有服务器识别ID“ID1”，因此判断两者是相对应的(“ID1“、“ID3”是同一网络)，于是通信接续得以建立，建筑机械50进入可以发送车辆状态数据的状态(图8的401步判断为YES)。

这样，要求取得车辆状态数据的指令由通信控制器30通过车身内通信回线51送至信息收集控制器20内，例如要求取得工作计时表SMR当前计时值的指令到达信息收集控制器20后，存储在RAM23的数据区内的工作计时表SMR的计时值由信息收集控制器20通过车身内通信回线51送至通信控制器30，进而从通信控制器30的天线31作为无线通信11发送，通过天线10、专用线9、地面波基地台8、专用线14送至通常运行服务器2。

此外，由通常运行服务器2向建筑机械50发出起动锁定有效、无效、起动锁定时间范围等设定指令时，也按照同样的处理将指令的起动锁定信息设定在信息收集控制器20中。

并且，由通常运行服务器2的各客户终端经由通常运行服务器2也可以向建筑机械50给与同样的指令。

还有，在建筑机械50内发生特定的异常或者到达特定的时刻等特定事件的情况下，事件发生时点RAM23内存储的异常内容及定期应当发送的车辆状态数据等信息由信息收集控制器20通过车身内通信回线51送至通信控制器30内，进而从通信控制器30的天线31作为无线通信11发送(自动发送)，自动发送的车辆状态数据通过天线10、专用线9、地面波基地台8、专用线14送入通常运行服务器2。

接在通常运行服务器2所属网络即互联网7、内部网4上的各客户终端机通过访问通常运行服务器2便可以取得通常运行服务器2内的建筑机械50的车辆状态数据并将其显示在客户终端的显示屏上。

送入通常运行服务器2的最新车辆状态数据被存储在主文件6，同时通过互联网7被存储在主文件6′中(图8的405步)。

当车载程序60版本更新时或者希望变更各建筑机械的错误代码生成及异常判断的阈值等时就需要把上述闪速存储器内22内旧的车载程序60′重写更新为新的车载程序60。以下的说明中车载程序60′代表旧程序、车载程序60代表新程序以示区别。

由专用更新服务器3发出的更新建筑机械50的车载程序60的指令通过专用线15、地面波基地台8、专用线9、天线10作为无线通信11向建筑机械50送信，由建筑机械50的天线31接收，该数据被取进通信控制器30内。

专用更新服务器3发送的数据中含有服务器识别ID“ID2”。通信控制器30中，当前IP地址已设定为“ID3”，由于接收到的数据中含有服务器识别ID“ID2”，因此判断两者是不对应的(ID2、ID3不是同一网络)，于是将通信接续切断(图8的401步判断为NO)。

由于识别ID不一致通信接续被切断的信息由通信控制器30经由车身内通信回线51送至信息收集控制器20内。信息收集控制器20收到这一信息后将自己和更新服务器3识别ID“ID2”相对应的IP地址“ID4”切换为“有效”，自己和普通运行服务器2的识别ID“ID1”相对应的IP地址“ID3”则切换为“无效”(更新模式)。信息收集控制器20中被设定为“有效”的IP地址数据“ID4”由信息收集控制器20经由车身内通信回线51送至通信控制器30内(图8的402步)。

专用更新服务器3鉴于通信接续被切断，再次向建筑机械50发送更新指令。专用更新服务器3送出的数据中含有服务器识别ID“ID2”。由于通信控制器30中当前IP地址已设定为“ID4”，接收到的数据中含有服务器识别ID“ID2”，因此判断两者是相对应的(ID2、ID4是同一网络)，于是通信接续得以建立(图8的403步判断为YES)。

之后在满足一定条件的前提下，信息收集控制器20按照来自专用更新服务器3的指令进行车载程序60的更新处理(图8的404步)。

根据如上所述的本实施方式，可以在建筑机械50和通常运行服务器2及专用更新服务器3之间切换通信接续。因此如图10所示在多台建筑机械50、50a、50b......存在的情况下，允许一些建筑机械和通常运行服务器2建立通信接续进行通常的运行处理，与此并行其它的建筑机械和专用更新服务器3之间建立通信接续进行更新处理。因此消除了服务器负荷过重或由于传送大数据量的程序导致通信信道被占有的现象。服务器和多台建筑机械之间的数据通信得以稳定进行。

图2示出按照来自专用更新服务器3的指令进行车载程序60更新处理的步骤。

·通常运行模式的返回控制

如图2所示，当建筑机械50和专用更新服务器3之间的通信接续由图8的403步建立时(图2的101步)，信息收集控制器20中定时器被置位，定时器任务被执行(102、108、109步)。

此处定时器的设定时间为更新所需时间加上一定富裕量的时间T。

信息收集控制器20按多任务方式工作，定时器任务独立于其它任务即更新任务(103-107步)而动作。因此即使其它任务失去控制，定时器任务仍会准确动作从而通过自我复位处理可以使旧车载程序60′起动(109步)。

更新任务(103-107步)正常完了的情况下，定时器在设定时间T到达前被清除，车载程序被更新为新的车载程序60。

反之、更新任务(103-107步)途中发生通信异常或程序崩溃的情况下，定时器的设定时间T超过后更新处理仍未完了(108步的判断为YES)，将执行复位处理，起动旧车载程序60′。

进而建筑机械50和服务器的通信状态从更新模式切换为运行模式。即信息收集控制器20将自己和更新服务器3的服务器识别ID“ID2”相对应的IP地址“ID4”恢复为“无效”，自己和通常运行服务器2识别ID“ID1”相对应的IP地址“ID3”恢复为“有效”(通常运行模式)。信息收集控制器20中被设定为“有效”的IP地址数据“ID3”由信息收集控制器20通过车身内通信回线51送至通信控制器30内。此后通常运行服务器2和建筑机械50之间的通信接续得以建立，可以进行正常的运行处理(109步)。

根据如上所述的本实施方式，即便在执行更新任务途中发生通信异常或程序崩溃的情况下，也可以正确地起动旧车载程序60′从而维持信息收集控制器20的功能。这使得通常运行处理得以正确进行，从而防止了由于信息收集控制器20功能失效而导致的作业效率低下。并且由于经过定时器的设定时间T后便从更新模式转换为通常运行模式，从而可以避免通信信道被更新处理的通信长时间占有，运行处理的通信得到保证，不会给正常运行处理带来障碍。

·车辆状态数据的检查处理

在图2的101步，专用更新服务器3和建筑机械50的通信控制器30之间的通信接续一旦确立，从专用更新服务器3送来的更新指令由通信控制器30通过车身内通信回线51送至信息收集控制器20内。

信息收集控制器20接受更新指令后，在下一步103中，首先执行当前车辆状态数据的检查处理，进而在下一步104，根据检查结果判断是否应该(是否可能)执行车载程序60的更新处理。

103、104步的检查处理、判断处理由专用更新服务器3进行。即信息收集控制器20接受更新指令后，由信息收集控制器20通过车身内通信回线51将应检查的车辆状态数据送至通信控制器30。应检查的车辆状态数据从通信控制器30的天线31作为无线通信11发送，经由天线10、专用线9、地面波基地台8、专用线15送至专用更新服务器3。

专用更新服务器3检查收到的车辆状态数据，以下列条件全部满足为条件判断是否可以实施更新处理。

(1)未处于起动锁定中

(2)建筑机械50未在操作中

(3)当前的旧车载程序60′版本是更新对象

之所以上述(1)未处于起动锁定中作为条件是因为在更新处理途中信息收集控制器20有可能功能失常，而由于信息收集控制器20功能失常，就不能发出起动锁定解除指令。由于建筑机械50往往工作在很苛刻的状况下，例如在建筑机械的周围有悬崖或倒塌物的状况下如果起动锁定不能解除将是十分危险的。

“未处于起动锁定中″是根据存储在信息收集控制器20内的起动锁定信息来判断的。例如起动锁定被设置为“无效”、或者起动锁定为“有效”并且当前时刻在起动锁定时间范围之外的情况下，判断为“未处于起动锁定中″。

之所以上述(2)“建筑机械50未在操作中”作为条件是因为向操作中的建筑机械50发送新车载程序60的途中，有可能由于操作状态(例如正在移动中)导致通信被中断或者通信不稳定，使得更新处理无法正常终了。

“建筑机械50未在操作中”是根据存储在信息收集控制器20内的车锁开关信息来判断的。例如在车锁开关54处于关闭位置(ACCOFF位置)的情况下，判断为“建筑机械50未在操作中”。此外，建筑机械50是否在操作中也可以通过检查交流发电机的端电压或者检测发动机57的转速来判断。

之所以上述(3)“当前的旧车载程序60′版本是更新对象”作为条件是因为非如此当然没有必要进行更新处理。如前所述车载程序的版本信息作为车辆状态数据存储在信息收集控制器20中。

除此之外还可以适当增加如下条件。

(4)是开通检查完了的通信终端(通信控制器30)

(5)电池端电压在正常范围内

(6)建筑机械50位于无线通信11能够稳定通信以及安全的场所

之所以上述(4)“是开通检查完了的通信终端(通信控制器30)”作为条件是因为服务器方面还没有做好管理该建筑机械50的准备。

之所以上述(5)“电池端电压在正常范围内”作为条件是因为如果电池电压53的端电压不在正常范围内，信息收集控制器20的CPU21有可能不能稳定动作，更新处理不能正常结束。“电池端电压在正常范围内”是根据存储在信息收集控制器20内的电池端电压信息判断的。

之所以上述(6)“建筑机械50位于无线通信11能够稳定通信以及安全的位置”作为条件是因为向建筑机械50发送新车载程序60的送信途中，由于通信中断或不稳定有可能导致更新处理无法正常终了。并且即使控制器功能失常也能够确保建筑机械50的安全。“建筑机械50位于无线通信11能够稳定通信以及安全的位置”是根据存储在信息收集控制器20内的绝对位置信息判断的。

此外、不以上述条件(1)至(6)的全部满足为条件而以其中的任1项或2项以上的组合作为更新处理的实施条件也是可以的。

虽然专用更新服务器3参照存储在信息收集控制器20内的车辆状态数据判断可否进行更新处理，但因为主文件6′内存有最新的车辆状态数据，因此也可以参照存储在主文件6′内的车辆状态数据判断可否进行更新处理。而且也可以结合参照存储在信息收集控制器20内的车辆状态数据和主文件6′内的车辆状态数据来判断可否进行更新处理。

图7示出结合参照存储在信息收集控制器20内的车辆状态数据和主文件6′内的车辆状态数据的情况下，检查两者数据的处理步骤。

即专用更新服务器3和建筑机械50之间的通信接续一旦确立(301步)，由建筑机械50将信息收集控制器20内部的应检查车辆状态数据向专用更新服务器3送信，专用更新服务器3取得数据(302步)。另一方面，专用更新服务器3参照主文件6′取得相同的应检查车辆状态数据。于是，参照主文件6′预先取得的车辆状态数据和从信息收集控制器20内部取得的车辆状态数据进行比较(303步)，判断两者是否同一。例如对起动锁定的信息判断主文件6′的数据和信息收集控制器20内部的数据是否同一(304步)。

判断结果两者为同一时(304步判断为Y)，图2的103步的检查处理被执行，进而图2的104步的更新可否的判断处理被执行(305步)但是，当两者不一致时(305步判断为N)，便中断以后的检查处理、更新可否的判断处理，进行数据不同一的原因分析处理(306步)。

专用更新服务器3判断可以实施更新处理的情况下(图2的104步判断为YES)，由专用更新服务器3向建筑机械50发送可以更新的信息，接下来在信息收集控制器20内执行将旧车载程序60′更新为新车载程序60的更新处理(105、106、107步)。但是，当专用更新服务器3判断不可实施更新处理的情况下(图2的104步判断为NO)，由更新服务器3向建筑机械50发送不可更新的信息，送入信息收集控制器20。信息收集控制器20收到数据后，和定时器的设定时间T超时处理同样，进行复位处理，起动旧车载程序60′。进而将建筑机械50和服务器之间的通信状态从更新模式切换为通常运行模式。因此以后的通常运行服务器2和建筑机械50的通信接续成为可能，可以进行通常的运行处理(109步)。

根据如上所述的本实施方式，更新处理时由于事先检查车辆状态数据，所以可以避免发生更新不能正常终了或者陷于危险状态的事态，特别是可以避免在起动锁定状态下信息收集控制器20功能失常的事态。因此可以事先避免建筑机械开动率低下的事态。

？更新处理(车辆状态数据的保护处理)

下面结合参照图2、图3就图2的105、106、107步的更新处理加以说明。图3(a)-(f)表示闪速存储器22、RAM23的状态变迁。

其中图3(a)表示更新处理前的闪速存储器22、RAM23的状态。如图3(a)所示闪速存储器2 2的程序区存储有车载程序60′。闪速存储器22的未示出的存储区内存储有更新控制程序61。

更新控制程序61是将旧车载程序60′更新为新车载程序60的更新处理用控制程序。

RAM23由工作区23a、23c及存储车辆状态数据60d的数据区23b所构成。工作区23a、23c是空区域。

专用更新服务器3判断可以实施更新处理的情况下(图2的104步判断为YES)，判断结果数据由专用更新服务器3通过专用线15、地面波基地台8、专用线9、天线10作为无线通信11向建筑机械50送信，建筑机械50的天线31接收信号，由通信控制器30经由车身内通信回线51送至数据收集控制器20内。收到后数据收集控制器20的CPU21如图3(b)所示从RAM23的数据区23b读出车辆状态数据60d，然后将其由数据收集控制器20经由车身内通信回线51送至通信控制器30。因此车辆状态数据60d从通信控制器30的天线31作为无线通信11送信，经由天线10、专用线9、地面波基地台8、专用线15送至专用更新服务器3。

专用更新服务器3将车辆状态数据60d存储在服务器3内的规定存储介质内加以保护(图2的105步)。

专用更新服务器3将车辆状态数据60d保护后，便将新的车载程序60通过专用线15、地面波基地台8、专用线9、天线10作为无线通信11向建筑机械50送信，建筑机械50的天线31接收信号，由通信控制器30经由车身内通信回线51送至信息收集控制器20内。收到后信息收集控制器20的CPU21如图3(c)所示将收到的新车载程序60缓存在RAM23的暂存区23d内。该暂存区23d不仅是工作区23a、23c而且包含数据区23b。即尽管新车载程序60的容量往往大到相当于RAM23的整个区域，但是由于将车辆状态数据60d预先保护起来，数据区23b可以作为新车载程序60的缓冲存储区使用，因此可以正确地将大容量的新车载程序60缓存在RAM23上。

并且，存储在闪速存储器22内的更新控制程序61被拷贝进RAM23的规定区域内，这样系统控制权被移交给拷贝在RAM23的更新控制程序61，闪速存储器22转为更新模式。因此如后面的图3(d)所示，按照RAM23的更新控制程序61的控制，闪速存储器22上的旧车载程序60′被RAM23上的新车载程序60所更新。即对缓冲存放在RAM23暂存区23d的新车载程序60进行CRC检查后，该新车载程序60被拷贝进闪速存储器22的程序区即旧车载程序60′的存储区域，旧车载程序60′被新车载程序60所更新(图2的106步)。

如图3(e)所示，一旦新车载程序60被拷贝进闪速存储器22后，信息收集控制器20将拷贝完了的数据经由车身内通信回线51送至通信控制器30，进而从通信控制器30的天线31作为无线通信11被送信，通过天线10、专用线9、地面波基地台8、专用线15送至专用更新服务器3。

专用更新服务器3收到这一信息后，将保护在存储介质中的车辆状态数据60d通过专用线15、地面波基地台8、专用线9、天线10作为无线通信11向建筑机械50送信。车辆状态数据60d由建筑机械50的天线31接收后，由通信控制器30经由车身内通信回线51送至信息收集控制器20。收到后，信息收集控制器20的CPU21如图3(f)所示将收到的车辆状态数据60d写回至RAM23的原先的数据区23b(107步)。

更新处理一旦终了CPU21进行自我复位处理。因此系统控制权被移交给闪速存储器22、闪速存储器22转为通常模式。存储在闪速存储器22程序区内的新车载程序60起动。

可是，旧车载程序60′被更新为新车载程序60后，车辆状态数据60d的地址有时会被变更。因此也可以在车辆状态数据60d被保护在专用更新服务器3的期间，进行车辆状态数据60d的地址变更处理，使其与新车载程序60相适应，并进行车辆状态数据60d的地址更新处理，再把更新后的车辆状态数据60d写回RAM23的原来的数据区23b。

根据如上所述的本实施方式，诸如工作计时表SMR(累计工作时间)及车身内发生的出错履历等不允许在更新处理中被消去而希望继承的车辆状态数据60d在更新处理时由于预先从RAM23的数据区23b被保护进专用更新服务器3的存储介质，并在更新处理终了后被写回原先的数据区23b内，因此希望继承的车辆状态数据60d能够正确地保留在信息收集控制器20的存储器内。并且由于车辆状态数据60d保护后的数据区23b可以用作新车载程序60的缓存区，从而可以在信息收集控制器20的小容量存储器上正确地存放大容量的车载程序60，正确地进行程序更新处理。

上述实施方式中是将车辆状态数据60d保护在建筑机械50外部的专用更新服务器3的存储介质内，如果更新处理时能够将车辆状态数据60d保护在别的存储区域或者别的存储介质内也是可以的，也可以将其保护在建筑机械50的内部。

图5表示将车辆状态数据60d保护在同一RAM23的数据区23b时的存储器状态变化。以下结合参照图6的流程图对图5加以说明。

如图5所示，存储在RAM23的数据区23b内的车辆状态数据60d被拷贝至RAM23最末尾的存储区23e内加以保护(图6的201步)。接下来如图5(b)所示，从专用更新服务器3接收到的新车载程序60被缓冲存储在涵盖数据区23b的暂存区23d内(图6的202步)。

接下来如图5(c)所示，缓存在RAM23的暂存区23d内的新车载程序60被拷贝至闪速存储器22的程序区(图6的203步)。在此更新处理后，留在RAM23暂存区23d内的新车载程序60被清除(204步)。

接下来如图5(d)所示，保护在RAM23最末尾的存储区23e的车辆状态数据60d被写回RAM23原来规定位置的数据区23b(图6的205步)。在此写回处理后，留在RAM23最末尾存储区23e的车辆状态数据60d被清除(206步)。

上述204、206步的清除处理可根据需要进行，不加清除将程序和数据留在原处也是可以的。

在图5中，是将车辆状态数据60d保护进RAM23的另一段存储区域内，也可以将其保护在车身内不同于RAM23的其它存储介质内。例如图1所示，在建筑机械50内部除信息收集控制器20外还装备有通信控制器30、发动机控制器40等其它控制器，因此更新处理时也可以将车辆状态数据60d从信息收集控制器20经由车身内通信回线51预先保护在其它控制器的存储介质内，更新处理完了后再将车辆状态数据60d从其它控制器写回至信息收集控制器20内RAM23原先的数据区23b上。

虽然上述实施方式中是将车辆状态数据60d保护在别的存储区，可是只要更新处理时车辆状态数据60d不会被清除就可以，不一定必须将其保护进别的存储区域。

即如图4所示，设定RAM23的数据区23b为不可覆盖区，同时设定RAM23的暂存区23d为可覆盖区。因此由更新服务器3送来的新车载程序60被暂时缓存在可覆盖的暂存区23d，而不会被缓存在不可覆盖的数据区23b。这样便可以防止在更新处理中存储在数据区23b的车辆状态数据60d被清除的事态。

在如上所述的本实施方式中，说明了2台服务器分别用作通常运行处理和更新处理的情况。但是也可以只用1台服务器兼作通常运行处理和更新处理。例如让通常运行服务器2不仅做通常运行处理也做更新处理。

图9表示通常运行服务器2和建筑机械50之间进行通常运行模式和更新模式切换的处理过程。

这种情况下，以传输层的UDP和TCP两种规约作为通常运行服务器2的应用程序和建筑机械50的应用程序之间的通信规约。

因此，如果通常运行服务器2按照UDP通信规约传送数据，则建筑机械50的通信控制器30便建立和UDP应用程序的连接，而将其和TCP应用程序的连接置于无效(501步判断为Y)。据此建筑机械50的通信控制器30判断当前为运行模式，之后通过信息收集控制器20执行通常运行处理(503步)。反之，如果通常运行服务器2按照TCP通信规约传送数据，则建筑机械50的通信控制器30便建立和TCP应用程序的连接，而将其和UDP应用程序的连接置于无效(502步判断为Y)。据此建筑机械50的通信控制器30判断当前为更新模式，之后通过信息收集控制器20执行更新处理(504步)。

此外设置2台服务器的情况下，可以将1台用作主服务器而将另1台用作备用服务器。例如用1台服务器进行运行处理和更新处理，当对该服务器做维修时可起动另一台备用服务器进行运行处理和更新处理。这种情况下2台服务器和建筑机械50之间的通信切换也适用上述实施方式的方法。

本实施方式中，虽然是以建筑机械50作为车辆，但本发明可适用于一般汽车等任何种类车辆的车载程序的更新。

Claims (2)

1.一种服务器切换控制装置，其特征在于：

第1服务器(2)及第2服务器(3)依靠通信工具(14、15、8、9、10、11)和车辆(50)内的车载控制器进行随意的通信连接；

这些第1服务器(2)及第2服务器(3)分别被赋予识别自己服务器的服务器识别ID(ID1、ID2)，同时车辆控制器被赋予和各第1服务器识别ID、第2服务器识别ID相对应的控制器识别ID(ID1、ID2)；

所述车辆控制器(20)内如果设定和第1服务器的识别ID(ID1)相对应的控制器识别ID(ID3)，则车辆控制器(20)和第1服务器(2)的通信连接成为可能状态，所述车辆控制器(20)内如果设定和第2服务器的识别ID(ID2)相对应的控制器识别ID(ID4)，则车辆控制器(20)和第2服务器(3)的通信连接成为可能状态。

2.根据权利要求1所述的服务器控制切换装置，其特征在于：

第1服务器(2)是和车辆控制器(20)接收发送车辆状态数据的通常运行服务器(2)；

第2服务器(3)是更新车载控制器(20)内的车载程序时发送新车载程序的更新服务器(3)。

Images