CN112650511A - Ota更新控制方法及*** - Google Patents

Abstract

本发明涉及OTA更新控制方法及***。一种空中下载OTA更新控制方法包括：由管理控制器从OTA服务器接收更新数据；由管理控制器将OTA更新信息发送至通信控制器；由通信控制器将OTA更新信息发送至用户终端；由用户终端基于OTA更新信息输出更新列表和更新细节；从用户终端接收OTA更新批准或OTA更新拒绝；由管理控制器基于OTA更新批准执行OTA更新。

Description

OTA更新控制方法及***

与相关申请的交叉引用

本申请要求2019年10月11日提交的韩国专利申请No.10-2019-0125964的优先权和权益，该申请的全部内容通过引用结合于此。

技术领域

本发明涉及空中下载(over-the-air，OTA)更新控制方法和***。

背景技术

本部分中的陈述仅提供与本发明相关的背景信息并且不构成现有技术。

通常，可以通过空中下载(OTA)利用无线空中数据来无线更新安装在车辆中的软件。在这种车辆OTA更新中，可以通过服务器执行对客户的车辆的无线传输和更新，以更新车辆管理所需的软件，从而进一步增强车辆的适销性并有效地应对车辆的质量问题。

图1是示出常规的OTA更新***的配置的框图。

参照图1，常规的OTA更新***可以包括OTA服务器100、OTA管理控制器200和OTA执行控制器300以根据需要进行更新；OTA服务器100用于存储作为控制器更新信息的更新数据；OTA管理控制器200用于无线地接收和管理所述更新数据。

在该常规的OTA更新***中，对于控制器无线更新，管理控制器200可以经由通信模块210从OTA服务器100接收更新数据，并基于车辆状态信息，通过OTA管理逻辑将更新数据发送至执行控制器300。执行控制器300可以基于接收到的更新数据执行更新。这里，车辆状态信息可以包括：电池状态信息、行驶状态信息、执行控制器操作状态信息和电源状态信息。

此外，在常规的OTA更新***中，当停车后满足点火(IG)关闭和安全状态时，显示OTA更新批准屏幕。然后，当驾驶员在批准之后离开车辆时，可以基于从管理控制器200无线下载到执行控制器300的更新数据执行更新。

但是，我们发现，在这种常规的OTA更新***中，随着更新数据大小的增加，OTA控制器更新时间会增加，在OTA控制器更新时间期间是无法使用车辆的。

发明内容

本发明致力于一种空中下载(over-the-air，OTA)更新控制方法和***，其基本上消除了由于现有技术的局限性和缺点而引起的一个或更多个问题。

本发明提供了一种OTA更新控制方法和***，其中用户甚至可以通过连接到车辆的用户终端在车辆外部执行OTA更新。

设计为解决所述问题的本发明的目的不限于上述目的，并且基于本发明的以下详细描述，本领域技术人员将清楚地理解其他未提及的目的。

在本发明的一个实施方案中，如本文所实现和概括地描述的，一种空中下载(OTA)更新控制方法包括：由管理控制器从OTA服务器接收更新数据；由管理控制器将OTA更新信息发送至通信控制器；由通信控制器将OTA更新信息发送至用户终端；由用户终端根据OTA更新信息输出更新列表和更新细节；从用户终端接收OTA更新批准或拒绝；由管理控制器基于OTA更新批准执行OTA更新。

所述OTA更新信息可以包括车辆状态信息、关于要更新的执行控制器的信息或要更新的内容中的至少一个。

输出更新列表和更新细节可以包括：由管理控制器基于预定的优先级确定要更新的执行控制器；由管理控制器将根据预定的优先级确定的执行控制器的更新列表发送至用户终端；由管理控制器执行控制操作，使得用户终端输出执行控制器的更新列表以及更新细节。

在一个实施方案中，接收空中下载更新批准或空中下载更新拒绝可以包括从用户终端接收到OTA更新立即批准，或者没有从用户终端接收到OTA更新立即批准。

所述OTA更新控制方法可以进一步包括：当从用户终端接收到OTA更新立即批准时，基于车辆状态信息中的车辆电池的电量状态(SOC)确定是否接收OTA更新。

基于电池的SOC确定是否接收OTA更新可以包括：基于要更新的执行控制器的驱动电流计算在OTA更新期间要消耗的电量，以及基于执行控制器的更新数据容量计算OTA更新时间；基于计算出的电量计算OTA更新完成后的SOC；基于计算出的SOC确定OTA更新后的车辆可更新状态。

所述OTA更新控制方法可以进一步包括：在没有接收到OTA更新立即批准时，根据预定的更新时间表接收OTA更新批准或拒绝。

基于预定的更新时间表接收OTA更新批准或拒绝可以包括：基于预定的更新时间表，在当前时间处于OTA更新预约设置时间的范围内时，接收批准。

在一个实施方案中，执行OTA更新可以包括：在从用户终端接收到OTA更新批准之后，将执行控制器更新为更新数据。

在本发明的另一方面，一种OTA更新控制***包括：OTA服务器；管理控制器，其通过无线通信连接到OTA服务器以从OTA服务器接收更新数据；多个执行控制器，所述多个执行控制器用于基于从管理控制器接收到的更新数据执行OTA更新；通信控制器，其通过车内通信连接到管理控制器；以及用户终端，其通过无线通信连接到通信控制器。具体地，管理控制器通过通信控制器向用户终端发送OTA更新信息，并且通过通信控制器，从用户终端接收基于OTA更新信息的OTA更新批准或OTA更新拒绝，所述执行控制器基于OTA更新批准执行OTA更新。

应该理解的是，本发明的上述总体描述和以下详细描述都是示例性的和解释性的，并且旨在提供本发明的进一步解释。

通过本文提供的描述，其它应用领域将变得明显。应当理解，本说明书和具体示例仅是旨在出于说明的目的，并非旨在限制本发明的保护范围。

附图说明

为了可以很好地理解本发明，现在参考所附附图，对通过示例的方式给出的本发明的各种实施方案进行描述，在这些附图中：

图1是示出了常规的空中下载(OTA)更新***的结构的框图；

图2是示出了OTA更新控制***的结构的框图；以及

图3是示出了OTA更新控制方法的流程图。

本文描述的附图仅出于说明的目的，并非旨在以任何方式限制本发明的范围。

具体实施方式

下面的说明在本质上仅仅是示例性的，并非旨在限制本发明、应用或用途。应当理解，在整个附图中，相应的附图标记表示相同或相应的部件和特征。

现在将详细地参考根据本发明的示例性实施方案的装置和各种方法，这些实施方案的示例在附图中示出。本文中的元件的后缀“模块”和“单元”是为了方便描述而使用，因此可以互换使用，并且没有任何可区别的含义或功能。

在示例性实施方案的描述中，将理解的是，当一个元件被称为在另一元件“之上”或“之下”或“之前”或“之后”时，该元件可以直接与另一元件相邻，或者也可以存在一个或更多个中间元件。

可以理解的是，尽管可以在本文中使用术语第一、第二、A、B、(a)、(b)等来描述本发明的各种元件，这些术语仅用于将一个元件与另一元件进行区分开，而相应元件的本质顺序或次序不受这些术语的限制。将理解的是，当一个元件被称为“连接至”、“联接至”或“接入”另一元件时，一个元件可以通过又一元件“连接至”、“联接至”或“接入”另一元件，或者一个元件可以直接连接至或直接接入另一元件。

在本文中使用的术语“包含”、“包括”和“具有”应当解释为不排除其他元件，而是进一步包括这样的其他元件，因为除非另有提及，否则可以包括相应的元件。包括技术术语或科学术语的所有术语都具有与本发明所属领域的普通技术人员通常理解的含义相同的含义，除非另有提及。根据上下文，通常使用的术语(例如，词典中定义的术语)应当解释为与相关技术中的含义一致。除非在本发明中有不同的定义，否则不应以理想的或过度正式的方式解释这些术语。

图2是示出根据本发明的一个实施方案的空中下载(OTA)更新控制***的配置的框图。

参照图2，OTA更新控制***可以包括：OTA服务器100、管理控制器200、多个执行控制器300、通信控制器400和用户终端500。并且，通信控制器400可以包括AVN和音响主机。这里，管理控制器200、多个执行控制器300、通信控制器400中的每一个包括处理器和包含由处理器执行的程序指令的非易失性介质。

OTA服务器100可以表示支持OTA的服务器，该OTA是用于在无线通信***中发送/接收关于***注册的信息的标准。

OTA服务器100可以通过无线通信连接到管理控制器200。OTA服务器100可以通过无线通信将更新数据发送到管理控制器200。更新数据可以包括固件或软件。在此，更新数据可以包括固件或软件。

管理控制器200是管理OTA更新的控制器，并且可以包括通信模块210，该通信模块210无线地连接到OTA服务器100以向OTA服务器100发送数据/从OTA服务器100接收数据。

相应地，管理控制器200可以通过无线通信从OTA服务器100接收(或下载)更新数据。此外，管理控制器200可以将下载的更新数据发送到执行控制器300。在一些实施方案中，可以将控制器局域网(CAN)或以太网通信用于车辆内通信。

另一方面，管理控制器200可以利用车内通信将OTA更新信息发送到通信控制器400。即，管理控制器200可以通过通信控制器400将OTA更新信息发送到用户终端500。

这里，OTA更新信息可以包括：车辆状态信息、关于要更新的执行控制器300的信息以及更新列表。

在一些实施方案中，车辆状态信息可以包括：电池状态信息、行驶状态信息、执行控制器操作状态信息和电源状态信息。

在一些实施方案中，更新列表可以是关于要更新的执行控制器300的更新优先级的信息。这里，在要更新的执行控制器300中，与安全性直接相关的执行控制器可以具有更高的优先级。

因此，管理控制器200可以通过通信控制器400将基于OTA更新优先级的OTA更新列表发送到用户终端500，并且执行控制操作，使得用户终端500输出更新列表和更新细节。这里，更新列表可以是关于要更新的执行控制器300的列表的信息。更新细节可以是要在执行控制器300中更新的内容。另一方面，管理控制器200可以基于车辆状态信息计算车辆OTA可更新状态信息，并且通过通信控制器400将计算出的信息发送到用户终端500。在此，可更新状态信息是指示更新是否可用的信息。

在一些实施方案中，在车辆状态信息是电池状态信息的情况下，管理控制器200可以基于车辆电池的当前电量状态(SOC)确定是否可以进行执行控制器300的OTA更新。即，管理控制器200可以在OTA更新完成之后计算车辆的电池的SOC。

为此，管理控制器200可以基于要更新的执行控制器300的功率和OTA更新时间计算在OTA更新期间要消耗的电量，如以下等式1中所示。

[等式1]：

更新期间要消耗的电量＝控制器功率*更新时间

更新时间＝(更新数据容量)/(车内更新通信速度)

其中，控制器功率是基于执行控制器300的驱动电流的功率，更新时间是基于执行控制器300的更新数据容量的OTA更新时间。

之后，管理控制器200可以基于如上等式1中计算出的车辆电池SOC确定OTA更新之后的车辆可更新状态。即，管理控制器200可以在OTA更新完成之后计算车辆电池SOC。

然后，管理控制器200可以通过通信控制器400将关于车辆可更新状态的信息发送到用户终端500。

在一些实施方案中，在OTA更新之后的车辆电池SOC低于或等于预定水平的情况下，管理控制器200可以执行控制操作，以通过通信控制器400和用户终端500向用户输出车辆需要行驶预定时间或更长时间以为电池充电的警告。

在一些实施方案中，在确定OTA更新之后的车辆电池SOC低于或等于预定水平并且太低以至于车辆不能重新启动时，管理控制器200可以通过通信控制器400和用户终端500向用户输出车辆不能重新启动的警告，并执行控制操作从而不启动OTA更新。另一方面，管理控制器200可以基于来自用户终端500的车辆OTA可更新状态信息接收OTA更新批准或非OTA更新批准。

在一些实施方案中，管理控制器200可以从用户终端500接收到更新立即批准，或者没有从用户终端500接收到OTA更新立即批准。在从用户终端500接收到OTA更新立即批准时，管理控制器200可以基于车辆可更新状态信息中的车辆电池的电量状态确定是否接收空中下载更新。

在没有接收到OTA更新立即批准时，管理控制器200可以通过通信控制器400从用户终端500接收OTA更新时间表。这里，OTA更新时间表可以包括用户输入的OTA更新预约设置时间。结果，管理控制器200可以确定当前时间是否在OTA更新预约设置时间的范围内。

在当前时间处于OTA更新预约设置时间的范围内时，管理控制器200可以从用户终端500接收或不接收与车辆可更新状态信息相对应的OTA更新批准。

另一方面，管理控制器200可以基于车辆的行驶状态批准OTA更新。

在一些实施方案中，当车辆处于停止状态(IG OFF状态)时，管理控制器200可以通过通信控制器400接收OTA更新批准。然后，管理控制器200可以将更新数据发送到执行控制器300，使得执行控制器300基于更新数据执行OTA更新。

另一方面，管理控制器200可以通过通信控制器400从用户终端500接收用户输入。即，管理控制器200可以通过通信控制器400从用户终端500接收与OTA更新信息相对应的OTA更新批准或非OTA更新批准。然后，管理控制器200可以将更新数据发送到执行控制器300，使得执行控制器300基于更新数据执行OTA更新。

同时，在不考虑将OTA更新信息发送到通信控制器400时存在要更新的控制器的情况下，管理控制器200可以在车辆处于IG OFF状态的条件下确定是否通过通信控制器400批准了OTA更新。当用户批准OTA更新时，管理控制器200可以立即执行OTA更新。

执行控制器300可以基于从管理控制器200接收的更新数据和OTA执行逻辑来执行OTA更新。即，响应于从用户终端500接收到的OTA更新批准，执行控制器300可以利用接收到的更新数据及其更新逻辑来执行OTA更新。

在一些实施方案中，在管理控制器200在车辆处于IG OFF状态的条件下接收通过通信控制器400输入的用户的OTA更新批准信息的情况下，执行控制器300可以基于从管理控制器200接收的更新数据来执行其OTA更新。

在一些实施方案中，在管理控制器200从用户终端500接收用户的OTA更新批准信息的情况下，执行控制器300可以基于从管理控制器200接收的更新数据来执行其OTA更新。

在一些实施方案中，在管理控制器200从用户终端500接收OTA更新预约设置时间并且当前时间处于预约设置时间的范围内的情况下，执行控制器300可以基于从管理控制器200接收的更新数据来执行OTA更新。

通信控制器400可以指用于车辆的多媒体终端，其中音频***、视频***和导航***整合为一个单元的形式。

通信控制器400可以通过车内通信连接到管理控制器200，并且可以通过无线通信连接到用户终端500。在一些实施方案中，通信控制器400可以通过连接的服务连接到用户终端500。

通信控制器400可以将连接的服务提供给用户终端500，并且通过连接的服务向用户终端500提供关于要更新的执行控制器300的信息以及OTA更新信息。

用户终端500可以是能够通过有线/无线通信向其他设备发送数据/从其他设备接收数据的电子设备。例如，用户终端500可以包括：智能电话、平板电脑、个人计算机(PC)、个人数字助理(PDA)和智能电视(TV)。这些仅是说明性的，并且用户终端500不限于此。

用户终端500可以通过应用连接到通信控制器400，并且可以通过无线通信向通信控制器400发送数据/从通信控制器400接收数据。

相应地，用户终端500可以从管理控制器200接收车辆状态信息、关于要更新的执行控制器300的信息以及OTA更新信息。

此外，用户终端500可以基于用户输入，通过通信控制器400将用于执行控制器300的更新执行指令发送到管理控制器200。

在一些实施方案中，用户终端500可以基于用户输入，为执行控制器300输入OTA更新立即执行指令。

在一些实施方案中，用户终端500可以为执行控制器300设置OTA更新时间表，并且输入OTA更新预约设置时间，使得根据该时间表自动执行OTA更新。

在一些实施方案中，用户终端500可以借助于经由应用的用户访问而在用户期望的时间输入OTA更新执行指令。另一方面，用户终端500可以输出要更新的执行控制器300的OTA更新信息。结果，用户终端500可以输出与要更新的执行控制器300相对应的更新列表和与要更新的内容相对应的更新细节。

在一些实施方案中，用户终端500可以基于接收到的OTA更新列表的更新优先级，以优先级降序输出执行控制器300的列表。

在一些实施方案中，用户终端500可以基于从管理控制器200接收到的车辆状态信息来输出车辆电池SOC。然后，用户终端500可以输入与车辆电池SOC相对应的用户的OTA更新批准。

图3是示出根据本发明的一个实施方案的OTA更新控制方法的流程图。

参照图3，车辆中的OTA服务器100和管理控制器200可以在它们之间执行无线通信(S301)。

在步骤S301之后，管理控制器200可以从OTA服务器100接收用于OTA更新所需的更新数据(S303)。此时，管理控制器200可以在车辆行驶时下载更新数据。

在步骤S303之后，管理控制器200可以将OTA更新信息发送到通信控制器400(S305)。OTA更新信息可以包括：车辆状态信息、关于要更新的执行控制器300的信息以及更新列表。

在步骤S305之后，当车辆处于停驻状态(IG OFF状态)时(S307)，管理控制器200可以通过通信控制器400从用户终端500接收OTA更新批准(S309)。

在步骤S309之后，管理控制器200可以将从OTA服务器100接收的更新数据发送到执行控制器300，从而执行控制器300基于更新数据执行OTA更新(S321)。

另一方面，在步骤S305之后，通信控制器400可以将从管理控制器200接收的OTA更新信息发送到用户终端500(S311)。

在步骤S311之后，用户终端500可以基于OTA更新信息输出更新列表和更新细节(S313)。此时，可以按预定的优先级确定的顺序输出更新列表。

在步骤S313之后，用户终端500可以从用户接收到更新立即批准，或者没有从用户接收到更新立即批准(S315)。

在输入了来自用户的更新立即批准的情况下(S315为“是”)，用户终端500可以输出车辆电池SOC信息，然后可以从用户接收到OTA更新批准，或者没有从用户接收到OTA更新批准(S319)。接收步骤(S319)还可以意味着用户终端500可以从用户接收批准OTA更新或不批准OTA更新。

另一方面，在未输入来自用户的更新立即批准的情况下(S315为“否”)，管理控制器200可以确定当前时间是否处于预定的更新预约设置时间的范围内(S317)。

在当前时间不处于预定的更新预约设置时间的范围内的情况下(S317为“否”)，该方法可以返回至上述步骤S315。

在当前时间处于预定更新预约设置时间的范围内的情况下(S317为“是”)，用户终端500可以输出车辆电池SOC信息，然后从用户接收到OTA更新批准，或者没有从用户接收到OTA更新批准(S319)。

在输入了来自用户的OTA更新批准的情况下(S319为“是”)，管理控制器200可以将从OTA服务器100接收的更新数据发送到执行控制器300，从而执行控制器300基于更新数据执行OTA更新(S321)。

在未输入来自用户的OTA更新批准的情况下(S319为“否”)，可以结束OTA更新控制。

根据一个实施方案的上述方法可以实现为计算机可执行程序并且存储在计算机可读记录介质上。计算机可读记录介质的示例可以包括：只读存储器(ROM)、随机存取存储器(RAM)、光盘只读存储器(CD-ROM)、磁带、软盘和光学数据存储装置。计算机可读记录介质也可以分布在联网的计算机***上，从而计算机可读代码以分布式的形式被存储和执行。同样，该实施方案所属领域的程序员可以容易地构造用于完成上述方法的功能程序、代码和代码段。

从以上描述显而易见的是，在根据本发明的OTA更新控制方法和***中，驾驶员甚至可以通过用户终端在车辆外部执行OTA更新。因此，驾驶员可以有效地控制OTA更新执行时间，从而避免了在IG OFF时间内无法使用车辆的不便。

此外，关于要更新的执行控制器和要更新的内容的信息可以提供给驾驶员并被驾驶员识别。

本领域技术人员将理解的是，通过本发明可获得的效果不限于上文已经具体描述的内容，并且从以上详细描述中将更清楚地理解本发明的其他未提及的效果。

上面的详细描述在任何方面均不应被解释为限制本发明，而应作为示例加以考虑。本发明的范围应通过所附权利要求的合理解释来确定，并且在不偏离本发明的范围的情况下进行所有等同的修改。

Claims (19)

1.一种空中下载更新控制方法，其包括：

由管理控制器从空中下载服务器接收更新数据；

由管理控制器将空中下载更新信息发送至通信控制器；

由通信控制器将空中下载更新信息发送至用户终端；

由用户终端基于空中下载更新信息输出更新列表和更新细节；

从用户终端接收空中下载更新批准或空中下载更新拒绝；

由管理控制器基于空中下载更新批准执行空中下载更新。

2.根据权利要求1所述的空中下载更新控制方法，其中，所述空中下载更新信息包括车辆状态信息、关于要更新的执行控制器的信息或要更新的内容中的至少一个。

3.根据权利要求2所述的空中下载更新控制方法，其中，执行空中下载更新包括：在从用户终端接收到空中下载更新批准时，对执行控制器进行更新。

4.根据权利要求1所述的空中下载更新控制方法，其中，输出更新列表和更新细节包括：

由管理控制器基于预定的优先级确定要更新的执行控制器；

由管理控制器将基于预定的优先级确定的执行控制器的更新列表发送至用户终端；

由管理控制器执行控制操作，使得用户终端输出执行控制器的更新列表以及更新细节。

5.根据权利要求1所述的空中下载更新控制方法，其中，接收空中下载更新批准或空中下载更新拒绝包括：从用户终端接收到空中下载更新立即批准，或者没有从用户终端接收到空中下载更新立即批准。

6.根据权利要求5所述的空中下载更新控制方法，其进一步包括：当从用户终端接收到空中下载更新立即批准时，基于车辆状态信息中的车辆电池的电量状态确定是否接收空中下载更新。

7.根据权利要求6所述的空中下载更新控制方法，其中，根据电池的电量状态确定是否接收空中下载更新包括：

基于要更新的执行控制器的驱动电流以及基于执行控制器的更新数据容量的空中下载更新时间，计算在空中下载更新期间要消耗的电量；

基于计算出的电量计算空中下载更新完成后的电量状态；

基于计算出的电量状态确定空中下载更新后的车辆可更新状态。

8.根据权利要求5所述的空中下载更新控制方法，其进一步包括：在没有接收到空中下载更新立即批准时，基于预定的更新时间表接收空中下载更新批准或空中下载更新拒绝。

9.根据权利要求8所述的空中下载更新控制方法，其中，基于预定的更新时间表接收空中下载更新批准或空中下载更新拒绝包括：基于预定的更新时间表，在当前时间处于空中下载更新预约设置时间的范围内时，接收批准。

10.一种计算机可读记录介质，其用于存储执行根据权利要求1所述的空中下载更新控制方法的程序。

11.一种空中下载更新控制***，其包括：

空中下载服务器；

管理控制器，其通过无线通信连接到空中下载服务器，并且所述管理控制器配置为从空中下载服务器接收更新数据；

多个执行控制器，所述多个执行控制器配置为基于从管理控制器接收到的更新数据执行空中下载更新；

通信控制器，其通过车内通信连接到管理控制器；以及

用户终端，其通过无线通信连接到通信控制器，

其中，所述管理控制器配置为：

由所述通信控制器向用户终端发送空中下载更新信息，

由所述通信控制器从用户终端接收基于空中下载更新信息的空中下载更新批准或空中下载更新拒绝，

所述执行控制器配置为基于空中下载更新批准执行空中下载更新，

所述管理控制器、执行控制器和通信控制器中的每一个分别包括处理器和包含由处理器执行的程序指令的非易失性介质。

12.根据权利要求11所述的空中下载更新控制***，其中，所述空中下载更新信息包括车辆状态信息、关于要更新的执行控制器的信息、更新列表或更新细节中的至少一个。

13.根据权利要求12所述的空中下载更新控制***，其中，所述管理控制器配置为：

基于预定的优先级确定执行控制器中的哪一个执行控制器要更新，

将基于预定的优先级确定的执行控制器的更新列表发送至用户终端，

执行控制操作，使得用户终端输出执行控制器的更新列表以及更新细节。

14.根据权利要求13所述的空中下载更新控制***，其中，所述管理控制器配置为从用户终端接收空中下载更新立即批准。

15.根据权利要求14所述的空中下载更新控制***，其中，所述管理控制器配置为：当从用户终端接收到空中下载更新立即批准时，基于车辆状态信息中的车辆电池的电量状态确定是否接收空中下载更新。

16.根据权利要求15所述的空中下载更新控制***，其中，所述管理控制器配置为：

基于要更新的执行控制器的驱动电流以及基于执行控制器的更新数据容量的空中下载更新时间，计算在空中下载更新期间要消耗的电量，

根据计算出的电量计算空中下载更新完成后的电量状态，

根据计算出的电量状态确定空中下载更新后的车辆可更新状态。

17.根据权利要求14所述的空中下载更新控制***，其中，当没有接收到空中下载更新立即批准时，所述管理控制器配置为基于预定的更新时间表接收空中下载更新批准或空中下载更新拒绝。

18.根据权利要求17所述的空中下载更新控制***，其中，所述管理控制器基于预定的更新时间表，在当前时间处于空中下载更新预约设置时间的范围内时，接收空中下载更新批准。

19.根据权利要求12所述的空中下载更新控制***，其中，当接收到来自用户终端的空中下载更新批准时，所述管理控制器配置为利用更新数据对执行控制器进行更新。

Images