JP7619335B2 - 電子制御装置、車両制御システム、車両制御方法、及びプログラム - Google Patents

Description

本発明は、電子制御装置、車両制御システム、車両制御方法、及びプログラムに関する。

特許文献１は、複数の電子制御装置にソフトウェアをそれぞれ実行させることによって、複数の機能を車両で実現させる車両制御システムの一例を開示している。ここでいう「機能」は、自動運転機能及び自動駐車機能などのように、車載の複数のアクチュエータを作動させることによって実現できる機能である。

複数の電子制御装置のうち、１つの電子制御装置はマスター電子制御装置である一方で、残りの電子制御装置はスレーブ電子制御装置である。マスター電子制御装置は整合情報を記憶している。整合情報とは、上記複数の機能を実現させるためのソフトウェアのバージョンの組み合わせを示す情報である。当該システムが起動すると、複数のスレーブ電子制御装置は、自身が実行するソフトウェアのバージョンを示す情報をマスター電子制御装置にそれぞれ送信する。マスター電子制御装置は、複数のスレーブ電子制御装置から送信された情報によって示されるバージョンと上記整合情報とを照合することにより、全ての電子制御装置のソフトウェアのバージョンに整合性があるか否かを判定する。そして、マスター電子制御装置は、全ての電子制御装置のソフトウェアのバージョンに整合性があると判定した場合、複数のスレーブ電子制御装置によるソフトウェアの実行を許可する。これにより、当該システムは、複数の機能を車両で実現させることが可能になる。

特開２０１９－１５９３９９号公報

車両制御システムが動作している最中に、当該システムを構成する電子制御装置に最新バージョンのソフトウェアがインストールされることがある。当該システムの動作中にソフトウェアがインストールされても、電子制御装置は、実行中のバージョンのソフトウェアの実行を継続する。その一方で、最新バージョンのソフトウェアがインストールされた後に電子制御装置がリセットされて再起動すると、当該電子制御装置は、最新バージョンのソフトウェアを実行する。

最新バージョンのソフトウェアがインストールされた電子制御装置が、上記システムが動作している最中に当該リセットされることがある。この場合、当該電子制御装置が再起動すると、当該電子制御装置は最新バージョンのソフトウェアの実行を開始する。すると、上記システムを構成する複数の電子制御装置のうち、一部の電子制御装置が実行するソフトウェアのバージョンと、残りの電子制御装置が実行するソフトウェアのバージョンとが不整合となる。この場合、当該システムでは、上記複数の機能の何れをも実現させることができなくなるおそれがある。

上記課題を解決するための電子制御装置の第１の態様は、複数の機能を車両で実現させる車両制御システムを構成する電子制御装置であって、前記電子制御装置は、前記複数の機能を前記車両で実現させるためのソフトウェアを記憶する記憶部と、前記記憶部に記憶されている前記ソフトウェアを実行する実行部と、を備え、前記実行部は、前記車両制御システムの動作中に自身が再起動した場合に、前記記憶部に記憶されている前記ソフトウェアの実行を停止する停止処理と、前記車両制御システムの動作中に他の電子制御装置が再起動した場合に、前記複数の機能のうち、当該他の電子制御装置でのソフトウェアの実行が停止されていても実現できる機能を実現させるために、前記記憶部に記憶されている前記ソフトウェアを実行する機能制限処理と、を行う。

上記電子制御装置は、車両制御システムの動作中に再起動した場合に、記憶部に記憶されているソフトウェアの実行を停止する。一方、車両制御システムの動作中に他の電子制御装置が再起動した場合、上記電子制御装置は、他の電子制御装置でのソフトウェアの実行が停止されていても実現できる機能を実現させるために、自身の記憶部に記憶されているソフトウェアを実行する。したがって、車両制御システムを構成する複数の電子制御装置のうち、一部の電子制御装置が実行するソフトウェアのバージョンと、残りの電子制御装置が実行するソフトウェアのバージョンとが不整合となっても、複数の機能のうちの一部の機能を車両で実現させることができる。

上記課題を解決するための電子制御装置の第２の態様は、複数の機能を車両で実現させる車両制御システムを構成するとともに、前記車両制御システムを構成する複数のスレーブ電子制御装置と通信する電子制御装置であって、前記複数の機能を前記車両で実現させるためのソフトウェアを記憶する記憶部と、前記ソフトウェアを実行する実行部と、を備え、前記実行部は、前記車両制御システムの動作中に自身が再起動したと判定した場合、前記ソフトウェアの実行を停止し、且つ前記複数の機能のうち、自身での前記ソフトウェアの実行が停止されていても実現できる機能を示す情報を前記複数のスレーブ電子制御装置に送信する。

上記電子制御装置は、車両制御システムの動作中に自身が再起動したと判定すると、ソフトウェアの実行を停止する。また、当該電子制御装置は、車両制御システムを構成する複数のスレーブ電子制御装置に対して上記の情報を送信する。これにより、複数のスレーブ電子制御装置では、複数の機能のうち、一部の機能のみを車両で実現できるように、ソフトウェアをそれぞれ実行することが可能となる。ここでいう「一部の機能」とは、上記電子制御装置でソフトウェアの実行が停止されていても車両で実現できる機能である。したがって、車両制御システムを構成する複数の電子制御装置のうち、一部の電子制御装置が実行するソフトウェアのバージョンと、残りの電子制御装置が実行するソフトウェアのバージョンとが不整合となっても、複数の機能のうちの一部の機能を車両で実現させることができる。

上記課題を解決するための車両制御システムの第１態様は、車両に設けられているマスター機器及び複数のスレーブ電子制御装置を備えるとともに、複数の機能を前記車両で実現させる車両制御システムであって、前記マスター機器は、上記第２の態様の電子制御装置であり、前記複数のスレーブ電子制御装置は、上記第１の態様の電子制御装置である。

上記課題を解決するための車両制御システムの第２態様は、車両に設けられているマスター機器及び複数のスレーブ電子制御装置を備えるとともに、複数の機能を前記車両で実現させる車両制御システムであって、前記複数のスレーブ電子制御装置は上記電子制御装置であり、前記マスター機器は、マスター実行部を備え、前記複数のスレーブ電子制御装置のうち、前記車両制御システムの動作中に再起動したスレーブ電子制御装置を再起動スレーブ電子制御装置としたとき、前記マスター実行部は、前記車両制御システムの動作中に、前記複数のスレーブ電子制御装置のうちの何れかから前記ソフトウェアのバージョンを示す情報を受信した場合に、前記複数のスレーブ電子制御装置のうち、当該バージョンを示す情報を送信してきた前記スレーブ電子制御装置が前記再起動スレーブ電子制御装置であることを示す情報を前記複数のスレーブ電子制御装置に送信する。

上記課題を解決するための車両制御方法は、マスター機器と、車両に設けられている複数のスレーブ電子制御装置とによって、前記車両で複数の機能を実現させる車両制御方法であって、前記複数のスレーブ電子制御装置は、前記マスター機器と情報の送受信が可能であるとともに、前記複数の機能を前記車両で実現させるためのソフトウェアを記憶する記憶部をそれぞれ備えるものであり、前記スレーブ電子制御装置の起動時に、自身の前記記憶部に記憶されている前記ソフトウェアのバージョンを示す情報を、前記マスター機器に送信することを前記スレーブ電子制御装置に実行させるステップと、前記複数のスレーブ電子制御装置のうち、これらを含むシステムの動作中に再起動したスレーブ電子制御装置を再起動スレーブ電子制御装置としたとき、前記システムの動作中に、前記複数のスレーブ電子制御装置のうちの何れかから前記ソフトウェアのバージョンを示す情報を前記マスター機器が受信した場合に、当該バージョンを示す情報を送信してきた前記スレーブ電子制御装置が前記再起動スレーブ電子制御装置であることを示す情報を前記複数のスレーブ電子制御装置に送信することを前記マスター機器に行わせるステップと、前記再起動スレーブ電子制御装置の前記記憶部に記憶されている前記ソフトウェアの実行を停止させることを当該再起動スレーブ電子制御装置に行わせるステップと、前記複数のスレーブ電子制御装置のうちの前記再起動スレーブ電子制御装置以外の他のスレーブ電子制御装置に行わせるステップであって、前記複数の機能のうち、前記再起動スレーブ電子制御装置で前記ソフトウェアを実行することが停止されていても実現できる機能を実現させるために、前記他のスレーブ電子制御装置の前記記憶部に記憶されている前記ソフトウェアを実行することを前記他のスレーブ電子制御装置に行わせるステップと、を含む。

上記車両制御方法では、上記システムの作動中にスレーブ電子制御装置が再起動すると、当該スレーブ電子制御装置は、自身の記憶部に記憶しているソフトウェアのバージョンをマスター機器に送信する。マスター機器は、複数のスレーブ電子制御装置のうちの何れかから上記バージョンを示す情報を受信すると、当該バージョンを示す情報を送信してきたスレーブ電子制御装置が再起動スレーブ電子制御装置であることを示す情報を複数のスレーブ電子制御装置に送信する。すると、再起動スレーブ電子制御装置は、ソフトウェアの実行を停止する。一方、再起動スレーブ電子制御装置以外の他のスレーブ電子制御装置は、複数の機能のうち、再起動スレーブ電子制御装置でのソフトウェアの実行が停止されていても実現できる機能を実現させるために、自身の記憶部に記憶されているソフトウェアを実行する。したがって、複数のスレーブ電子制御装置のうち、一部のスレーブ電子制御装置が実行するソフトウェアのバージョンと、残りのスレーブ電子制御装置が実行するソフトウェアのバージョンとが不整合となっても、複数の機能のうちの一部の機能を車両で実現させることができる。

図１は、第１実施形態において、車両制御システムを備える車両の概略構成と、同車両と通信可能に構成されたデータセンターの概略構成とを示す図である。 図２は、同車両制御システムのマスターＥＣＵに記憶されている整合情報を示す図である。 図３は、同車両制御システムを構成する複数のＥＣＵに記憶されている組み合わせテーブルを示す図である。 図４は、同車両制御システムにおける一連の処理の流れを示すシーケンス図である。 図５は、同車両制御システムのマスターＥＣＵで実行される処理ルーチンを示すフローチャートである。 図６は、同マスターＥＣＵで実行される処理ルーチンを示すフローチャートである。 図７は、同マスターＥＣＵで実行される処理ルーチンを示すフローチャートである。 図８は、同車両制御システムのスレーブＥＣＵで実行される処理ルーチンを示すフローチャートである。 図９は、同スレーブＥＣＵで実行される処理ルーチンを示すフローチャートである。 図１０は、第２実施形態において、車両制御システムにおける一連の処理の流れの一部を示すシーケンス図である。 図１１は、同車両制御システムのマスターＥＣＵで実行される処理ルーチンを示すフローチャートである。 図１２は、同車両制御システムのスレーブＥＣＵで実行される処理ルーチンを示すフローチャートである。 図１３は、第３実施形態において、車両制御システムを備える車両の概略構成と、同車両と通信可能に構成されたデータセンターの概略構成とを示す図である。 図１４は、変更例の車両制御システムにおいて、マスターＥＣＵで実行される処理ルーチンを示すフローチャートである。

（第１実施形態）
以下、第１実施形態を図１～図９に従って説明する。
図１は、車両１０と、車両１０と通信するデータセンター１００とを図示している。データセンター１００は、車外に設けられている。

＜車両＞
図１に示すように、車両１０は、通信機１１と、車両制御システム１３とを備えている。通信機１１は、グローバルネットワーク２００を介してデータセンター１００と通信する。通信機１１は、データセンター１００から受信した情報を車両制御システム１３に送信したり、車両制御システム１３から出力された情報をデータセンター１００に送信したりする。

車両制御システム１３は、複数の機能を車両１０で実現させることが可能に構成されている。ここでいう「機能」は、車両１０を走行させる際における運転者の利便性を向上させる機能である。こうした機能は、例えば、自動運転機能、自動駐車機能、レーンキープアシスト、及び、アダプティブ・クルーズ・コントロールを含んでいる。

車両制御システム１３は複数の電子制御装置を備えている。以降では、電子制御装置を「ＥＣＵ」という。「ＥＣＵ」は、「Electronic Control Unit」の略記である。車両制御システム１３は、ＥＣＵとして、１つのマスターＥＣＵ２０と、複数のスレーブＥＣＵ３０１，３０２，３０３，…とを備えている。これら複数のＥＣＵ２０，３０１～３０３，…は、各種の情報を互いに送受信できるようにそれぞれ構成されている。本実施形態では、マスターＥＣＵ２０が「マスター機器」に対応する。

マスターＥＣＵ２０は、マスター実行部２１と、第１マスター記憶装置２３と、第２マスター記憶装置２５とを備えている。例えば、マスター実行部２１はＣＰＵである。第１マスター記憶装置２３は、マスター実行部２１によって実行される各種の制御プログラムを記憶している。第１マスター記憶装置２３は、制御プログラムとして、第１マスターソフトウェアと第２マスターソフトウェアとを記憶している。第１マスターソフトウェアは、上記複数の機能を車両１０で実現するためのソフトウェアである。第２マスターソフトウェアは、マスターＥＣＵ２０が単独で実行する制御を実現するためのソフトウェアである。本実施形態では、第１マスター記憶装置２３は、第１マスターソフトウェアとして、複数のバージョンのソフトウェアを記憶している。具体的には、第１マスター記憶装置２３は、最新バージョンの第１マスターソフトウェアと、最新バージョンの１つ前のバージョンである旧バージョンの第１マスターソフトウェアとを記憶している。すなわち、第１マスター記憶装置２３が、複数のバージョンの第１マスターソフトウェアを記憶できるように構成された記憶部であると云える。

第２マスター記憶装置２５は、整合情報及び組み合わせテーブルを記憶している。整合情報及び組み合わせテーブルについては後述する。
複数のスレーブＥＣＵ３０１～３０３，…のうち、少なくとも１つのスレーブＥＣＵは、車載装置を制御する制御装置である。車載装置は、例えば、駆動装置、制動装置及び転舵装置である。

複数のスレーブＥＣＵ３０１～３０３，…は、スレーブ実行部３１と、第１スレーブ記憶装置３３と、第２スレーブ記憶装置３５とをそれぞれ備えている。例えば、スレーブ実行部３１はＣＰＵである。第１スレーブ記憶装置３３は、制御プログラムとして、第１スレーブソフトウェアと第２スレーブソフトウェアとを記憶している。第１スレーブソフトウェアは、上記複数の機能を車両１０で実現するためのソフトウェアである。第２スレーブソフトウェアは、スレーブＥＣＵが単独で実行する制御を実現するためのソフトウェアである。本実施形態では、第１スレーブ記憶装置３３は、第１スレーブソフトウェアとして、複数のバージョンのソフトウェアを記憶している。具体的には、第１スレーブ記憶装置３３は、最新バージョンの第１スレーブソフトウェアと、旧バージョンの第１スレーブソフトウェアとを記憶している。すなわち、第１スレーブ記憶装置３３が、複数のバージョンの第１スレーブソフトウェアを記憶できるように構成された記憶部であると云える。

第２スレーブ記憶装置３５は、組み合わせテーブルを記憶している。第２スレーブ記憶装置３５が記憶する組み合わせテーブルは、第２マスター記憶装置２５に記憶されている組み合わせテーブルと同じである。

本実施形態では、第１スレーブ記憶装置３３が、第１スレーブソフトウェアを記憶する「第１記憶部」に対応する。第２スレーブ記憶装置３５が「第２記憶部」に対応する。
図２を参照し、上記の整合情報について説明する。

整合情報は、上記複数の機能の何れをも車両１０で実現するためのソフトウェアのバージョンの組み合わせを示す情報である。図２に示す２つの整合情報のうち、整合情報５１は、第１マスターソフトウェアのバージョンが「１２３４５」である場合の整合情報である。図２に示す２つの整合情報のうち、整合情報５２は、第１マスターソフトウェアのバージョンが「１２３４６」である場合の整合情報である。

図３を参照し、上記の組み合わせテーブル５５について説明する。
組み合わせテーブル５５は、機能を実現するために必要なＥＣＵの組み合わせを、複数の機能６１，６２，６３，６４，…毎に示すものである。すなわち、組み合わせテーブル５５を記憶する記憶装置は、複数の機能６１～６４，…のうち、第１機能を機能させるために必要なＥＣＵの種類、及び、第２機能を機能させるために必要なＥＣＵの種類を記憶していると云える。

組み合わせテーブル５５によれば、以下の要件（Ａ１１）及び（Ａ１２）を満たしている場合は、機能６１を車両１０で実現できる。
（Ａ１１）マスターＥＣＵ２０で第１マスターソフトウェアが実行されていること。
（Ａ１２）複数のスレーブＥＣＵ３０１～３０３，…の何れにおいても、自身の第１スレーブ記憶装置３３に記憶されている第１スレーブソフトウェアが実行されていること。

組み合わせテーブル５５によれば、以下の要件（Ａ２１）及び（Ａ２２）を満たしている場合は、機能６２を車両１０で実現できる。
（Ａ２１）マスターＥＣＵ２０で第１マスターソフトウェアが実行されていること。
（Ａ２２）複数のスレーブＥＣＵ３０１～３０３，…のうち、スレーブＥＣＵ３０１以外のスレーブＥＣＵにおいて、自身の第１スレーブ記憶装置３３に記憶されている第１スレーブソフトウェアが実行されていること。

組み合わせテーブル５５によれば、以下の要件（Ａ３１）及び（Ａ３２）を満たしている場合は、機能６３を車両１０で実現できる。
（Ａ３１）マスターＥＣＵ２０が第１マスターソフトウェアを実行していること。
（Ａ３２）複数のスレーブＥＣＵ３０１～３０３，…のうち、スレーブＥＣＵ３０２以外のスレーブＥＣＵにおいて、自身の第１スレーブ記憶装置３３に記憶されている第１スレーブソフトウェアが実行されていること。

組み合わせテーブル５５によれば、以下の要件（Ａ４）を満たしている場合は、機能６４を車両１０で実現できる。
（Ａ４）複数のスレーブＥＣＵ３０１～３０３，…の何れにおいても、自身の第１スレーブ記憶装置３３に記憶されている第１スレーブソフトウェアが実行されていること。

＜データセンター＞
図１に示すように、データセンター１００は、車両１０の複数のＥＣＵ２０，３０１～３０３，…で実行されるソフトウェアを管理する。例えば、複数のＥＣＵ２０，３０１～３０３，…の中で、ソフトウェアの更新が必要なＥＣＵがある場合、データセンター１００は、更新の必要なＥＣＵに最新バージョンのソフトウェアがインストールされるように、当該ソフトウェアをグローバルネットワーク２００を介して車両１０に送信する。例えばマスターＥＣＵ２０の第１マスターソフトウェアを更新する場合、データセンター１００は、最新バージョンの第１マスターソフトウェア用の整合情報もグローバルネットワーク２００を介して車両１０に送信する。

ここで、マスターＥＣＵ２０の第１マスターソフトウェアを更新する場合の処理の流れを説明する。この場合、データセンター１００は、最新バージョンの第１マスターソフトウェアをグローバルネットワーク２００を介して車両１０に送信する。車両１０では、通信機１１が、最新バージョンの第１マスターソフトウェアを受信する。マスターＥＣＵ２０の第１マスター記憶装置２３には、複数のバージョンの第１マスターソフトウェアが記憶されている。そのため、マスターＥＣＵ２０では、複数のバージョンの第１マスターソフトウェアのうち、最も古いバージョンの第１スレーブソフトウェアを削除した上で、通信機１１が受信した最新バージョンの第１マスターソフトウェアが第１マスター記憶装置２３に書き込まれる。また、マスターＥＣＵ２０では、最新バージョンの第１スレーブソフトウェア用の整合情報が第２マスター記憶装置２５に書き込まれる。

なお、スレーブＥＣＵ３０１～３０３，…の第１スレーブソフトウェアを更新する場合の処理の流れは、第１マスターソフトウェアを更新する場合と同様であるため、説明を割愛する。

＜車両制御方法＞
図４を参照し、車両制御システム１３の動作中に、スレーブＥＣＵ３０１がリセットされて再起動する場合の処理の流れを説明する。ここでは、説明理解の便宜上、車両制御システム１３が備えるスレーブＥＣＵが、スレーブＥＣＵ３０１とスレーブＥＣＵ３０２との２つであるものとする。

車両１０の運転スイッチが操作されて車両制御システム１３が起動すると、複数のスレーブＥＣＵ３０１，３０２は、自身が記憶している最新バージョンの第１スレーブソフトウェアのバージョンを示す情報をマスターＥＣＵ２０にそれぞれ送信する（ステップＳ１１，Ｓ１３）。具体的には、スレーブＥＣＵ３０１，３０２は、バージョンを示す情報をマスターＥＣＵ２０に定期的に送信する。

マスターＥＣＵ２０は、複数のスレーブＥＣＵ３０１，３０２からバージョンを示す情報を受信すると、上記複数の機能を実現するためのソフトウェアのバージョンチェックを行う（ステップＳ１５）。マスターＥＣＵ２０は、自身が記憶している最新バージョンの第１マスターソフトウェアのバージョンに対応する整合情報を用いる。マスターＥＣＵ２０は、当該整合情報を基に、第１マスターソフトウェアのバージョンと、スレーブＥＣＵ３０１の第１スレーブソフトウェアのバージョンと、スレーブＥＣＵ３０２の第１スレーブソフトウェアのバージョンとの整合性があるか否かを判定する。マスターＥＣＵ２０は、当該判定結果に応じた起動指示を複数のスレーブＥＣＵ３０１，３０２に送信する。具体的には、マスターＥＣＵ２０は、複数のソフトウェアのバージョンに整合性があると判定した場合には、第１スレーブソフトウェアの実行を許可することを示す起動指示を複数のスレーブＥＣＵ３０１，３０２に送信する。一方、マスターＥＣＵ２０は、複数のソフトウェアに整合性がないと判定した場合には、第１スレーブソフトウェアの実行を許可しないことを示す起動指示を複数のスレーブＥＣＵ３０１，３０２に送信する。

複数のスレーブＥＣＵ３０１，３０２は、マスターＥＣＵ２０から起動指示を受信すると、バージョンを示す情報の送信をそれぞれ停止する（ステップＳ１７，Ｓ１９）。そして、複数のスレーブＥＣＵ３０１，３０２は、自身が記憶しているスレーブソフトウェアを起動する（ステップＳ２１，Ｓ２３）。具体的には、複数のスレーブＥＣＵ３０１，３０２は、第１スレーブソフトウェアの実行を許可することを示す起動指示を受信した場合、第１スレーブソフトウェア及び第２スレーブソフトウェアの双方をそれぞれ実行し始める。一方、複数のスレーブＥＣＵ３０１，３０２は、第１スレーブソフトウェアの実行を許可しないことを示す起動指示を受信した場合、第１スレーブソフトウェア及び第２スレーブソフトウェアのうち、第２スレーブソフトウェアのみをそれぞれ実行し始める。

マスターＥＣＵ２０は、起動指示を送信すると、マスターソフトウェアを起動する（ステップＳ２５）。具体的には、マスターＥＣＵ２０は、第１スレーブソフトウェアの実行を許可することを示す起動指示を送信した場合、第１マスターソフトウェア及び第２マスターソフトウェアの双方を実行し始める。一方、マスターＥＣＵ２０は、第１スレーブソフトウェアの実行を許可しないことを示す起動指示を送信した場合、第１マスターソフトウェア及び第２マスターソフトウェアのうち、第２マスターソフトウェアのみを実行し始める。

マスターＥＣＵ２０が第１マスターソフトウェアを実行するとともに、複数のスレーブＥＣＵ３０１，３０２が第１スレーブソフトウェアをそれぞれ実行することにより、複数の機能の何れをも車両１０で実現できる。一方、マスターＥＣＵ２０が第１マスターソフトウェアを実行しないとともに、複数のスレーブＥＣＵ３０１，３０２が第１スレーブソフトウェアをそれぞれ実行しない場合には、複数の機能の何れもが車両１０で実現されない。ただし、マスターＥＣＵ２０は、第２マスターソフトウェアを実行しているため、単独で実行できる制御を行うことができる。同様に、複数のスレーブＥＣＵ３０１，３０２は、自身に記憶されている第２スレーブソフトウェアを実行しているため、単独で実行できる制御をそれぞれ行うことができる。

このように車両制御システム１３が動作している最中で、スレーブＥＣＵ３０１がリセットされると、スレーブＥＣＵ３０１は再起動する。そのため、スレーブＥＣＵ３０１は、自身が記憶している最新バージョンの第１スレーブソフトウェアのバージョンを示す情報をマスターＥＣＵ２０に送信する（ステップＳ２７）。すなわち、複数のスレーブＥＣＵ３０１，３０２のうち、車両制御システム１３の動作中に再起動したスレーブＥＣＵのみが、バージョンを示す情報を送信することを開始する。

マスターＥＣＵ２０は、複数のスレーブＥＣＵ３０１，３０２のうちの何れかから第１スレーブソフトウェアのバージョンを示す情報を受信した場合、当該情報を送信してきたスレーブＥＣＵが再起動スレーブＥＣＵであると特定する（ステップＳ２９）。この場合、マスターＥＣＵ２０は、スレーブＥＣＵ３０１が再起動スレーブＥＣＵであると特定する。そして、マスターＥＣＵ２０は、スレーブＥＣＵ３０１が再起動スレーブＥＣＵであることを示す情報である不正起動通知を複数のスレーブＥＣＵ３０１，３０２に送信する。

スレーブＥＣＵ３０１は、不正起動通知を受信すると、バージョンを示す情報の送信を停止する（ステップＳ３１）。そして、スレーブＥＣＵ３０１は、第１スレーブソフトウェアの実行を停止する（ステップＳ３３）。

一方、スレーブＥＣＵ３０２は、不正起動通知を受信すると、複数の機能のうち、一部の機能のみが実現できるように、自身に記憶されている第１スレーブソフトウェアを実行する（ステップＳ３５）。具体的には、スレーブＥＣＵ３０２は、不正起動通知を受信すると、スレーブＥＣＵ３０１が再起動スレーブＥＣＵであることを認識できる。スレーブＥＣＵ３０２は、組み合わせテーブル５５を基に、複数の機能のうち、スレーブＥＣＵ３０１が第１スレーブソフトウェアを実行しなくても実現できる機能を把握する。そして、スレーブＥＣＵ３０２は、複数の機能のうち、当該機能のみを実現するために、自身に記憶されている第１スレーブソフトウェアを実行する。この際、スレーブＥＣＵ３０２は、不正起動通知を受信する前に実行していたバージョンの第１スレーブソフトウェアの実行を継続する。

マスターＥＣＵ２０は、不正起動通知を送信すると、複数の機能のうち、一部の機能のみが実現できるように第１マスターソフトウェアを実行する（ステップＳ３７）。具体的には、マスターＥＣＵ２０は、組み合わせテーブル５５を基に、複数の機能のうち、スレーブＥＣＵ３０１が第１スレーブソフトウェアを実行しなくても実現できる機能を把握する。そして、マスターＥＣＵ２０は、複数の機能のうち、当該機能のみを実現するために第１マスターソフトウェアを実行する。この際、マスターＥＣＵ２０は、不正起動通知を送信する前に実行していたバージョンの第１マスターソフトウェアの実行を継続する。

＜マスターＥＣＵで実行される処理ルーチン＞
図５～図７を参照し、図４に示したような処理の流れを実現するためにマスターＥＣＵ２０のマスター実行部２１が実行する処理ルーチンについて説明する。

はじめに図５を参照し、車両制御システム１３が起動する際にマスター実行部２１が実行する処理ルーチンについて説明する。
本処理ルーチンにおいてステップＳ１０１では、マスター実行部２１は、複数のスレーブＥＣＵ３０１～３０３，…から送信された第１スレーブソフトウェアのバージョンを示す情報の受信が完了したか否かを判定する。マスター実行部２１は、当該情報の受信が完了した場合（Ｓ１０１：ＹＥＳ）、処理をステップＳ１０３に移行する。一方、マスター実行部２１は、当該情報の受信が完了していない場合（Ｓ１０１：ＮＯ）、当該情報の受信が完了するまでステップＳ１０１の判定を繰り返し実行する。

ステップＳ１０３において、マスター実行部２１は、上記ステップＳ１５のバージョンチェックを行うために照合処理を実行する。具体的には、マスター実行部２１は、自身が記憶している最新バージョンの第１マスターソフトウェアに対応する整合情報を読み出す。そして、マスター実行部２１は、当該整合情報を基に、複数のスレーブＥＣＵ３０１～３０３，…で実行される第１スレーブソフトウェアのバージョンの何れもが、第１マスターソフトウェアのバージョンと整合しているか否かを照合する。

ステップＳ１０５において、マスター実行部２１は、照合処理の実行結果に応じた起動指示をスレーブＥＣＵ３０１～３０３，…に送信する。ステップＳ１０７において、マスター実行部２１は、上記ステップＳ２５で説明したようにマスターソフトウェアの実行を開始するマスター起動処理を実行する。その後、マスター実行部２１は本処理ルーチンを終了する。

次に図６を参照し、図５に示した処理ルーチンの終了を契機にマスター実行部２１が実行する処理ルーチンの１つを説明する。マスター実行部２１は、所定の制御サイクル毎に本処理ルーチンを繰り返し実行する。

本処理ルーチンにおいてステップＳ１１１では、マスター実行部２１は、複数のスレーブＥＣＵ３０１～３０３，…のうちの何れかから第１スレーブソフトウェアのバージョンを示す情報を受信したか否かを判定する。すなわち、マスター実行部２１は、車両制御システム１３の動作中に、複数のスレーブＥＣＵ３０１～３０３，…のうちの何れかからバージョンを示す情報を受信したか否かを判定する。マスター実行部２１は、当該情報を受信した場合（Ｓ１１１：ＹＥＳ）、処理をステップＳ１１３に移行する。一方、マスター実行部２１は、当該情報を受信していない場合（Ｓ１１１：ＮＯ）、本処理ルーチンを一旦終了する。

ステップＳ１１３において、マスター実行部２１は、上記ステップＳ２９で説明したように、上記情報を送信してきたスレーブＥＣＵを再起動スレーブＥＣＵであると特定する。ステップＳ１１５において、マスター実行部２１は、上記情報を送信してきたスレーブＥＣＵが再起動スレーブＥＣＵであることを示す情報を不正起動通知として複数のスレーブＥＣＵ３０１～３０３，…に送信する再起動情報送信処理を実行する。

ステップＳ１１７において、マスター実行部２１は、上記ステップＳ３７で説明したように、複数の機能６１～６４，…のうち、一部の機能のみが実現できるように第１マスターソフトウェアを実行するマスター機能制限処理を実行する。ここでいう「一部の機能」とは、複数の機能６１～６４，…のうち、再起動スレーブＥＣＵと特定したスレーブＥＣＵで第１スレーブソフトウェアが実行されなくても実現できる機能である。その後、マスター実行部２１は本処理ルーチンを一旦終了する。

次に図７を参照し、図５に示した処理ルーチンの終了を契機にマスター実行部２１が実行する処理ルーチンの１つを説明する。マスター実行部２１は、所定の制御サイクル毎に本処理ルーチンを繰り返し実行する。

本処理ルーチンにおいてステップＳ１３１では、マスター実行部２１は、車両制御システム１３の動作中に自身がリセットされたか否かを判定する。マスターＥＣＵ２０が起動すると、マスター実行部２１は、複数のスレーブＥＣＵ３０１～３０３，…から第１スレーブソフトウェアのバージョンを示す情報が送信されてくるのを待つ。車両制御システム１３の動作中に、複数のＥＣＵ２０，３０１～３０３，…のうちのマスターＥＣＵ２０のみがリセットされて再起動した場合、マスターＥＣＵ２０には、複数のスレーブＥＣＵ３０１～３０３，…の何れからも当該情報が送信されてこない。そのため、マスター実行部２１は、自身が起動してから所定時間が経過しても、何れのスレーブＥＣＵからも当該情報が送信されてこない場合、車両制御システム１３の動作中に自身がリセットされたと判定する。マスター実行部２１は、車両制御システム１３の動作中に自身がリセットされたと判定した場合（Ｓ１３１：ＹＥＳ）、処理をステップＳ１３３に移行する。一方、マスター実行部２１は、車両制御システム１３の動作中に自身がリセットされていないと判定した場合（Ｓ１３１：ＮＯ）、本処理ルーチンを一旦終了する。

ステップＳ１３３において、マスター実行部２１は、車両制御システム１３の動作中にマスターＥＣＵ２０が再起動したことを示す情報を複数のスレーブＥＣＵ３０１～３０３，…に送信する。ステップＳ１３５において、マスター実行部２１は、第１マスターソフトウェアの実行を停止するマスター停止処理を実行する。その後、マスター実行部２１は本処理ルーチンを一旦終了する。

＜スレーブＥＣＵで実行される処理ルーチン＞
図８及び図９を参照し、図４に示したような処理の流れを実現するために複数のスレーブＥＣＵ３０１～３０３，…のスレーブ実行部３１が実行する処理ルーチンについて説明する。

はじめに図８を参照し、車両制御システム１３が起動する際にスレーブ実行部３１が実行する処理ルーチンについて説明する。
本処理ルーチンにおいてステップＳ２０１では、スレーブ実行部３１は、上記ステップＳ１１，Ｓ１３で説明したように、自身が記憶している最新バージョンの第１スレーブソフトウェアのバージョンを示す情報をマスターＥＣＵ２０に送信する。本実施形態では、ステップＳ２０１が「バージョン送信処理」に対応する。

ステップＳ２０３において、スレーブ実行部３１は、マスターＥＣＵ２０から起動指示を受信したか否かを判定する。スレーブ実行部３１は、起動指示を受信した場合（Ｓ２０３：ＹＥＳ）、処理をステップＳ２０５に移行する。一方、スレーブ実行部３１は、起動指示を受信していない場合（Ｓ２０３：ＮＯ）、処理をステップＳ２０１に移行する。すなわち、スレーブ実行部３１は、起動指示を受信するまでバージョンを示す情報の送信を繰り返し実行する。

ステップＳ２０５において、スレーブ実行部３１は、バージョンを示す情報の送信を停止する。ステップＳ２０７において、スレーブ実行部３１は、上記ステップＳ２１，Ｓ２３で説明したように、受信した起動指示に基づき、自身が記憶しているスレーブソフトウェアの実行を開始するスレーブ起動処理を実行する。その後、スレーブ実行部３１は本処理ルーチンを終了する。

次に図９を参照し、図８に示した処理ルーチンの終了を契機にスレーブ実行部３１が実行する処理ルーチンを説明する。スレーブ実行部３１は、所定の制御サイクル毎に本処理ルーチンを繰り返し実行する。

本処理ルーチンにおいてステップＳ２２１では、スレーブ実行部３１は、自身でリセットが発生したか否かを判定する。スレーブ実行部３１は、自身でリセットが発生した場合（Ｓ２２１：ＹＥＳ）、処理をステップＳ２２３に移行する。一方、スレーブ実行部３１は、自身でリセットが発生していない場合（Ｓ２２１：ＮＯ）、処理をステップＳ２２５に移行する。

ステップＳ２２３において、スレーブ実行部３１は、上記ステップＳ２７で説明したように、自身が記憶している最新バージョンの第１スレーブソフトウェアのバージョンを示す情報をマスターＥＣＵ２０に送信する。そして、スレーブ実行部３１は処理をステップＳ２２５に移行する。

ステップＳ２２５において、スレーブ実行部３１は、マスターＥＣＵ２０から不正起動通知を受信したか否かを判定する。スレーブ実行部３１は、不正起動通知を受信した場合（ステップＳ２２５：ＹＥＳ）、処理をステップＳ２２７に移行する。一方、スレーブ実行部３１は、不正起動通知を受信していない場合（Ｓ２２５：ＮＯ）、本処理ルーチンを一旦終了する。

ステップＳ２２７において、スレーブ実行部３１は、不正起動通知を基に、自身が再起動スレーブＥＣＵであるか否かを判定する。スレーブ実行部３１は、自身が再起動スレーブＥＣＵであると判定した場合（Ｓ２２７：ＹＥＳ）、処理をステップＳ２２９に移行する。一方、スレーブ実行部３１は、自身が再起動スレーブＥＣＵではないと判定した場合（Ｓ２２７：ＮＯ）、処理をステップＳ２３３に移行する。すなわち、スレーブ実行部３１は、自身以外の他のスレーブＥＣＵが再起動スレーブＥＣＵである場合、スレーブ実行部３１は処理をステップＳ２３３に移行する。

ステップＳ２２９において、スレーブ実行部３１は、バージョンを示す情報の送信を停止する。ステップＳ２３１において、スレーブ実行部３１は、上記ステップＳ３３で説明したように第１スレーブソフトウェアの実行を停止するスレーブ停止処理を実行する。その後、スレーブ実行部３１は本処理ルーチンを一旦終了する。この場合、スレーブ実行部３１は、車両制御システム１３の今回の動作中では、第１スレーブソフトウェアの実行を停止する状態を継続する。

ステップＳ２３３において、スレーブ実行部３１は、上記ステップＳ３５で示したように、複数の機能６１～６４，…のうち、一部の機能のみが実現できるように第１スレーブソフトウェアを実行するスレーブ機能制限処理を実行する。ここでいう「一部の機能」とは複数の機能６１～６４，…のうち、再起動スレーブＥＣＵで第１スレーブソフトウェアが実行されていなくても車両１０で実現できる機能である。その後、スレーブ実行部３１は本処理ルーチンを一旦終了する。

＜本実施形態の作用及び効果＞
車両制御システム１３が動作している最中に、複数のスレーブＥＣＵ３０１～３０３，…のうちの少なくとも１つのスレーブＥＣＵに、最新バージョンの第１スレーブソフトウェアがインストールされることがある。この場合、当該スレーブＥＣＵでは、インストールされた最新バージョンの第１スレーブソフトウェアは実行されず、旧バージョンの第１スレーブソフトウェアの実行が継続される。

このような状況下で、最新バージョンの第１スレーブソフトウェアがインストールされたスレーブＥＣＵがリセットされて再起動することがある。この場合、最新バージョンの第１スレーブソフトウェアの実行を開始するために、当該スレーブＥＣＵは、最新バージョンの第１スレーブソフトウェアのバージョンを示す情報をマスターＥＣＵ２０に送信するようになる。

マスターＥＣＵ２０では、車両制御システム１３の動作中に、第１スレーブソフトウェアのバージョンを示す情報を受信すると、当該情報を送信してきたスレーブＥＣＵが再起動スレーブＥＣＵであると特定する。そして、マスターＥＣＵ２０は、上記の不正起動通知を複数のスレーブＥＣＵ３０１～３０３，…に送信する。

再起動スレーブＥＣＵと特定されたスレーブＥＣＵは、不正起動通知を受信すると、第１スレーブソフトウェアの実行を停止する。一方、他のスレーブＥＣＵは、不正起動通知に基づき、何れのスレーブＥＣＵが再起動スレーブＥＣＵであるかを把握する。そして、他のスレーブＥＣＵ及びマスターＥＣＵ２０は、上記組み合わせテーブル５５を参照することにより、複数の機能６１～６４，…のうち、再起動スレーブＥＣＵで第１スレーブソフトウェアの実行が停止されていても実現できる機能を把握する。例えばスレーブＥＣＵ３０１が再起動スレーブＥＣＵである場合は、複数の機能６１～６４，…のうち、機能６３以外の機能を実現できる。すると、他のスレーブＥＣＵは、複数の機能６１～６４，…のうち、機能６３以外の機能を実現するために、自身で記憶している第１スレーブソフトウェアを実行する。また、マスターＥＣＵ２０は、複数の機能６１～６４，…のうち、機能６３以外の機能を実現するために、第１マスターソフトウェアを実行する。

したがって、複数のスレーブＥＣＵ３０１～３０３，…のうち、一部のスレーブＥＣＵで実行される第１スレーブソフトウェアのバージョンと、残りのスレーブＥＣＵで実行される第１スレーブソフトウェアのバージョンとが不整合となっても、複数の機能６１～６４，…のうちの一部の機能を車両１０で実現させることができる。

なお、本実施形態では、以下の効果をさらに得ることができる。
（１－１）車両制御システム１３が動作している最中で、スレーブＥＣＵ３０１が再起動すると、スレーブＥＣＵ３０１は、自身が記憶している最新バージョンの第１スレーブソフトウェアのバージョンを示す情報をマスターＥＣＵ２０に送信する。マスターＥＣＵ２０は、車両制御システム１３が動作している最中に、スレーブＥＣＵ３０１からバージョンを示す情報を受信すると、スレーブＥＣＵ３０１が再起動スレーブＥＣＵであることを示す不正起動通知を複数のスレーブＥＣＵ３０１～３０３，…に送信する。これにより、複数のスレーブＥＣＵ３０１～３０３，…は、何れのスレーブＥＣＵが再起動スレーブＥＣＵであるのかをそれぞれ特定できる。

（１－２）複数のスレーブＥＣＵ３０１～３０３，…は、図３に示した組み合わせテーブル５５をそれぞれ記憶している。そのため、スレーブＥＣＵ３０１～３０３，…では、マスターＥＣＵ２０から不正起動通知を受信することにより、複数の機能６１～６４，…のうち、車両１０で実現できない機能である停止機能を把握できる。したがって、マスターＥＣＵ２０は不正起動通知とともに停止機能を示す情報を複数のスレーブＥＣＵ３０１～３０３，…に送信しなくてもよい分、マスターＥＣＵ２０から複数のスレーブＥＣＵ３０１～３０３，…に送信する情報量が増大することを抑制できる。

（１－３）車両制御システム１３が動作している最中に、マスターＥＣＵ２０が再起動することがある。この場合、複数のスレーブＥＣＵ３０１～３０３，…では、複数の機能６１～６４，…のうち、マスターＥＣＵ２０で第１マスターソフトウェアが実行されなくても実現できる機能を車両１０で実現するために、第１スレーブソフトウェアがそれぞれ実行される。したがって、マスターＥＣＵ２０で実行される第１マスターソフトウェアのバージョンと、複数のスレーブＥＣＵ３０１～３０３，…で実行される第１スレーブソフトウェアのバージョンとが不整合となっても、複数の機能のうちの一部の機能を車両１０で実現させることができる。

（第２実施形態）
第２実施形態を図１０～図１２に従って説明する。なお、第２実施形態では、車両制御システムの動作中にＥＣＵが再起動した後の処理内容の一部が第１実施形態と異なっている。以下の説明においては、第１の実施形態と相違する部分について主に説明するものとし、第１実施形態と同一の部材構成には同一符号を付して重複説明を省略するものとする。

＜車両制御方法＞
図１０を参照し、車両制御システム１３の動作中に、スレーブＥＣＵ３０１がリセットされて再起動する場合の処理の流れのうち、上記第１実施形態と相違する部分を中心に説明する。ここでは、説明理解の便宜上、車両制御システム１３が備えるスレーブＥＣＵが、スレーブＥＣＵ３０１とスレーブＥＣＵ３０２との２つであるものとする。

車両制御システム１３が起動して複数のＥＣＵ２０，３０１，３０２でソフトウェアの実行を開始させるまでの処理の流れ（ステップＳ１１～Ｓ２５）は、上記第１実施形態と同様である。

車両制御システム１３が動作している最中で、スレーブＥＣＵ３０１がリセットされると、スレーブＥＣＵ３０１は再起動する。すると、スレーブＥＣＵ３０１は、自身が記憶している最新バージョンの第１スレーブソフトウェアのバージョンを示す情報を定期的にマスターＥＣＵ２０に送信するようになる（ステップＳ２７）。

マスターＥＣＵ２０は、複数のスレーブＥＣＵ３０１，３０２のうちの何れかから第１スレーブソフトウェアのバージョンを示す情報を受信した場合、当該情報を送信してきたスレーブＥＣＵ３０１が再起動スレーブＥＣＵであると特定する（ステップＳ２９Ａ）。また、マスターＥＣＵ２０は、スレーブＥＣＵ３０１が実行する第１スレーブソフトウェアのバージョンである許可バージョンを特定する。具体的には、マスターＥＣＵ２０は、図２に示した整合情報を基に、自身が実行する第１マスターソフトウェアのバージョンと整合する、スレーブＥＣＵ３０１用の第１スレーブソフトウェアのバージョンを許可バージョンとして選択する。マスターＥＣＵ２０は、スレーブＥＣＵ３０１が再起動スレーブＥＣＵであることを示す不正起動通知を複数のスレーブＥＣＵ３０１，３０２に送信する。また、マスターＥＣＵ２０は、再起動スレーブＥＣＵであるスレーブＥＣＵ３０１に対しては許可バージョンを示す情報も送信する。

スレーブＥＣＵ３０１は、不正起動通知を受信すると、バージョンを示す情報の送信を停止する（ステップＳ３１）。そして、スレーブＥＣＵ３０１は、自身が記憶している第１スレーブソフトウェアの実行を停止する（ステップＳ３３）。

一方、スレーブＥＣＵ３０２は、不正起動通知を受信すると、複数の機能のうち、一部の機能のみが実現できるように、自身が記憶している第１スレーブソフトウェアを実行する（ステップＳ３５）。また、マスターＥＣＵ２０は、不正起動通知を送信すると、複数の機能のうち、一部の機能のみが実現できるように、自身が記憶している第１マスターソフトウェアを実行する（ステップＳ３７）。なお、複数の機能のうち、スレーブＥＣＵ３０１で第１スレーブソフトウェアの実行が停止されているために実現できない機能を「停止機能」という。

スレーブＥＣＵ３０１は、自身が記憶している複数のバージョンの第１スレーブソフトウェアのうち、不正起動通知とともに受信した上記情報が示す許可バージョンの第１スレーブソフトウェアを選択する。そして、スレーブＥＣＵ３０１は、選択したバージョンの第１スレーブソフトウェアの実行を開始する（ステップＳ３９）。また、スレーブＥＣＵ３０１は、第１スレーブソフトウェアの実行を開始したことを示す情報である開始通知を他のＥＣＵ２０，３０２に送信する。

マスターＥＣＵ２０及びスレーブＥＣＵ３０２は、スレーブＥＣＵ３０１から開始通知を受信すると、複数の機能のうち、上記停止機能の実現が可能となるように制限を解除する（ステップＳ４１、Ｓ４３）。すなわち、マスターＥＣＵ２０は、停止機能も実現できるように第１マスターソフトウェアを実行する。スレーブＥＣＵ３０２は、停止機能も実現できるように、自身が記憶している第１スレーブソフトウェアを実行する。

スレーブＥＣＵ３０１は、開始通知を送信すると、複数の機能のうち、停止機能の実現が可能となるように制限を解除する（ステップＳ４５）。すなわち、スレーブＥＣＵ３０１は、停止機能を実現できるように、自身が記憶している第１スレーブソフトウェアを実行する。

＜マスターＥＣＵで実行される処理ルーチン＞
次に図１１を参照し、図５に示した処理ルーチンの終了を契機にマスター実行部２１が実行する処理ルーチンの１つを説明する。マスター実行部２１は、所定の制御サイクル毎に本処理ルーチンを繰り返し実行する。

本処理ルーチンにおいてステップＳ１５１では、マスターＥＣＵ２０は、上記ステップＳ１１１と同様に、複数のスレーブＥＣＵ３０１～３０３，…のうちの何れかから第１スレーブソフトウェアのバージョンを示す情報を受信したか否かを判定する。マスター実行部２１は、当該情報を受信した場合（Ｓ１５１：ＹＥＳ）、処理をステップＳ１５３に移行する。一方、マスター実行部２１は、当該情報を受信していない場合（Ｓ１５１：ＮＯ）、本処理ルーチンを一旦終了する。

ステップＳ１５３において、マスター実行部２１は、上記ステップＳ２９Ａで説明したように、上記情報を送信してきたスレーブＥＣＵを再起動スレーブＥＣＵとして特定する。ステップＳ１５３の処理内容は、上記ステップＳ１１３の処理と同じである。続いてステップＳ１５５において、マスター実行部２１は、上記ステップＳ２９Ａで説明したように許可バージョンを特定する。

ステップＳ１５７において、マスター実行部２１は、ステップＳ１５３で再起動スレーブＥＣＵと特定したスレーブＥＣＵが、前回に再起動スレーブＥＣＵと特定したスレーブＥＣＵと同じであるか否かを判定する。マスター実行部２１は、同じであると判定した場合（Ｓ１５７：ＹＥＳ）、処理をステップＳ１６１に移行する。一方、マスター実行部２１は、同じではないと判定した場合（Ｓ１５７：ＮＯ）、処理をステップＳ１５９に移行する。

ステップＳ１５９において、マスター実行部２１は、再起動スレーブＥＣＵと特定したスレーブＥＣＵを第２マスター記憶装置２５に記憶させる。そして、マスター実行部２１は処理をステップＳ１６１に移行する。

ステップＳ１６１において、マスター実行部２１は、上記情報を送信してきたスレーブＥＣＵが再起動スレーブＥＣＵであることを示す情報を不正起動通知として複数のスレーブＥＣＵ３０１～３０３，…に送信する。また、マスター実行部２１は、許可バージョンを示す情報も再起動スレーブＥＣＵに送信する。

ステップＳ１６３において、マスター実行部２１は、上記ステップＳ３７で説明したように、複数の機能６１～６４，…のうち、一部の機能のみが実現できるように第１マスターソフトウェアを実行するマスター機能制限処理を実行する。

ステップＳ１６５において、マスター実行部２１は、再起動スレーブＥＣＵから開始通知を受信したか否かを判定する。マスター実行部２１は、開始通知を受信した場合（Ｓ１６５：ＹＥＳ）、処理をステップＳ１６７に移行する。一方、マスター実行部２１は、開始通知を受信していない場合（Ｓ１６５：ＮＯ）、開始通知を受信するまでステップＳ１６５の判定を繰り返し実行する。

ステップＳ１６７において、マスター実行部２１は、上記ステップＳ４１で説明したように上記停止機能も実現できるように第１マスターソフトウェアを実行するマスター制限解除処理を実行する。その後、マスター実行部２１は本処理ルーチンを一旦終了する。

＜スレーブＥＣＵで実行される処理ルーチン＞
図１２を参照し、図８に示した処理ルーチンの終了を契機にスレーブ実行部３１が実行する処理ルーチンを説明する。スレーブ実行部３１は、所定の制御サイクル毎に本処理ルーチンを繰り返し実行する。

本処理ルーチンにおいてステップＳ２５１では、スレーブ実行部３１は、上記ステップＳ２２１と同様に、自身でリセットが発生したか否かを判定する。スレーブ実行部３１は、自身でリセットが発生した場合（Ｓ２５１：ＹＥＳ）、処理をステップＳ２５３に移行する。一方、スレーブ実行部３１は、自身でリセットが発生していない場合（Ｓ２５１：ＮＯ）、処理をステップＳ２５５に移行する。

ステップＳ２５３において、スレーブ実行部３１は、自身が記憶している最新バージョンの第１スレーブソフトウェアのバージョンを示す情報をマスターＥＣＵ２０に送信する。そして、スレーブ実行部３１は処理をステップＳ２５５に移行する。

ステップＳ２５５において、スレーブ実行部３１は、上記ステップＳ２２５と同様に、マスターＥＣＵ２０から不正起動通知を受信したか否かを判定する。スレーブ実行部３１は、不正起動通知を受信した場合（ステップＳ２５５：ＹＥＳ）、処理をステップＳ２５７に移行する。一方、スレーブ実行部３１は、不正起動通知を受信していない場合（Ｓ２５５：ＮＯ）、本処理ルーチンを一旦終了する。

ステップＳ２５７において、スレーブ実行部３１は、上記ステップＳ２２７と同様に、自身が再起動スレーブＥＣＵであるか否かを不正起動通知に基づいて判定する。スレーブ実行部３１は、自身が再起動スレーブＥＣＵであると判定した場合（Ｓ２５７：ＹＥＳ）、処理をステップＳ２５９に移行する。一方、スレーブ実行部３１は、自身が再起動スレーブＥＣＵではないと判定した場合（Ｓ２５７：ＮＯ）、処理をステップＳ２７１に移行する。すなわち、スレーブ実行部３１は、自身以外の他のスレーブＥＣＵが再起動スレーブＥＣＵである場合、処理をステップＳ２７１に移行する。

ステップＳ２５９において、スレーブ実行部３１は、バージョンを示す情報の送信を停止する。ステップＳ２６１において、スレーブ実行部３１は、上記ステップＳ３３で説明したように第１スレーブソフトウェアの実行を停止するスレーブ停止処理を実行する。

続いてステップＳ２６３において、スレーブ実行部３１は、上記停止機能を実現させることが可能か否かを判定するために復帰可能判定処理を実行する。具体的には、スレーブ実行部３１は、許可バージョンの第１スレーブソフトウェアが自身の第１スレーブ記憶装置３３に記憶されているか否かを判定する。許可バージョンの第１スレーブソフトウェアが自身の第１スレーブ記憶装置３３に記憶されている場合は、上記停止機能を実現させることが可能である。一方、許可バージョンの第１スレーブソフトウェアが自身の第１スレーブ記憶装置３３に記憶されていない場合は、上記停止機能を実現させることが不能である。

ステップＳ２６５において、スレーブ実行部３１は、上記停止機能を実現させることが可能であると判定した場合（ＹＥＳ）、処理をステップＳ２６７に移行する。一方、スレーブ実行部３１は、上記停止機能を実現させることが不能であると判定した場合（Ｓ２６５：ＮＯ）、本処理ルーチンを一旦終了する。

ステップＳ２６７において、スレーブ実行部３１は、上記ステップＳ３９で説明したように、自身の第１スレーブ記憶装置３３に記憶されている複数のバージョンの第１スレーブソフトウェアのうち、許可バージョンの第１スレーブソフトウェアの実行を開始するスレーブ制限解除処理を実行する。すると、スレーブ実行部３１は、上記停止機能を車両１０で実現できるように第１スレーブソフトウェアを実行するようになる。次のステップＳ２６９において、スレーブ実行部３１は、開始通知をマスターＥＣＵ２０及び他のスレーブＥＣＵに送信する。その後、スレーブ実行部３１は本処理ルーチンを一旦終了する。

ステップＳ２７１において、スレーブ実行部３１は、上記ステップＳ３５で示したように、複数の機能６１～６４，…のうち、一部の機能のみが実現できるように第１スレーブソフトウェアを実行するスレーブ機能制限処理を実行する。ステップＳ２７１の処理内容は、上記ステップＳ２３３の処理と同じである。

ステップＳ２７３において、スレーブ実行部３１は、再起動スレーブＥＣＵから開始通を受信したか否かを判定する。スレーブ実行部３１は、開始通知を受信した場合（Ｓ２７３：ＹＥＳ）、処理をステップＳ２７５に移行する。一方、スレーブ実行部３１は、開始通知を受信していない場合（Ｓ２７３：ＮＯ）、開始通知を受信するまでステップＳ２７３の判定を繰り返し実行する。ただし、スレーブ実行部３１は、処理がステップＳ２７３に移行した時点から所定時間が経過した場合、開始通知が再起動スレーブＥＣＵから送信されてこないと判断し、本処理ルーチンを一旦終了する。

ステップＳ２７５において、スレーブ実行部３１は、上記ステップＳ４３で説明したように、上記停止機能も実現できるように、自身が記憶している第１スレーブソフトウェアを実行するスレーブ制限解除処理を実行する。その後、スレーブ実行部３１は本処理ルーチンを一旦終了する。

＜本実施形態の作用及び効果＞
本実施形態の作用のうち、上記第１実施形態の作用と相違する部分を中心に説明する。
マスターＥＣＵ２０では、車両制御システム１３の動作中に、第１スレーブソフトウェアのバージョンを示す情報を受信すると、当該情報を送信してきたスレーブＥＣＵが再起動スレーブＥＣＵであると特定する。さらに、マスターＥＣＵ２０は、自身が実行している第１マスターソフトウェアのバージョンに応じた整合情報を基に、再起動スレーブＥＣＵの第１スレーブソフトウェアの許可バージョンを特定する。そして、マスターＥＣＵ２０は、再起動スレーブＥＣＵに対して、上記の不正起動通知及び許可バージョンを示す情報を送信し、且つ再起動スレーブＥＣＵ以外の他のスレーブＥＣＵに対して不正起動通知を送信する。

再起動スレーブＥＣＵは、不正起動通知を受信すると、第１スレーブソフトウェアの実行を停止する。一方、他のスレーブＥＣＵは、複数の機能６１～６４，…のうち、一部の機能のみを実現できるように、自身が記憶している第１スレーブソフトウェアを実行する。同様に、マスターＥＣＵ２０は、複数の機能６１～６４，…のうち、一部の機能のみ実現できるように、第１マスターソフトウェアを実行する。ここでいう「一部の機能」とは、再起動スレーブＥＣＵで第１スレーブソフトウェアが実行されていなくても実現できる機能である。なお、実行が停止される機能を「停止機能」という。

本実施形態では、再起動スレーブＥＣＵは、許可バージョンを示す情報を受信する。そのため、再起動スレーブＥＣＵは、第１スレーブソフトウェアの実行を停止している間に、許可バージョンの第１スレーブソフトウェアを自身が記憶しているか否かを判定する。再起動スレーブＥＣＵは、自身が許可バージョンの第１スレーブソフトウェアを記憶している場合、許可バージョンの第１スレーブソフトウェアの実行を開始する。このとき、再起動スレーブＥＣＵは、上記停止機能を実現できるように第１スレーブソフトウェアを実行する。さらに、再起動スレーブＥＣＵは、開始通知を他のスレーブＥＣＵ及びマスターＥＣＵ２０に送信する。

他のスレーブＥＣＵは、開始通知を受信すると、上記停止機能も実現できるように、自身が記憶している第１スレーブソフトウェアを実行する。同様に、マスターＥＣＵ２０は、開始通知を受信すると、上記停止機能も実現できるように第１マスターソフトウェアを実行する。これにより、車両制御システム１３は、停止機能を車両１０で実現させることが可能となる。

（第３実施形態）
第３実施形態を図１３に従って説明する。なお、第２実施形態では、マスター機器がデータセンターに設けられている点などが上記複数の実施形態と異なっている。以下の説明においては、上記複数の実施形態と相違する部分について主に説明するものとし、上記複数の実施形態と同一の部材構成には同一符号を付して重複説明を省略するものとする。

図１３に示すように、車両制御システム１３Ａは、複数のスレーブＥＣＵ３０１～３０３，…を備えている。そして、車両制御システム１３Ａは、複数のスレーブＥＣＵ３０１～３０３，…が第１スレーブソフトウェアをそれぞれ実行することにより、複数の機能６１～６４，…を車両１０で実現できる。

データセンター１００Ａは、グローバルネットワーク２００を介して車両１０と通信できるように構成されている。データセンター１００Ａはマスター機器１２０を備えている。マスター機器１２０は、マスター実行部１２１とマスター記憶装置１２３とを備えた電子制御装置である。例えば、マスター実行部１２１はＣＰＵである。マスター記憶装置１２３は、マスター実行部１２１によって実行される制御プログラムを記憶している。

＜車両制御方法＞
車両制御システム１３Ａの動作中に、複数のスレーブＥＣＵのうち、スレーブＥＣＵ３０１がリセットされて再起動する場合の処理の流れを説明する。ここでは、説明理解の便宜上、車両制御システム１３Ａが備えるスレーブＥＣＵが、スレーブＥＣＵ３０１とスレーブＥＣＵ３０２との２つであるものとする。

本実施形態では、マスター機器１２０が、上記複数の実施形態におけるマスターＥＣＵ２０と略同等の処理を実行する。すなわち、車両１０の運転スイッチが操作されて車両制御システム１３Ａが起動すると、複数のスレーブＥＣＵ３０１，３０２は、自身が記憶している最新バージョンの第１スレーブソフトウェアのバージョンを示す情報を通信機１１にそれぞれ送信する。通信機１１は、複数のスレーブＥＣＵ３０１，３０２から受信したバージョンを示す情報をデータセンター１００Ａに送信する。

データセンター１００Ａにおいて、マスター機器１２０は、上記ステップＳ１５で説明したようなバージョンチェックを行う。そして、マスター機器１２０は、バージョンチェックの結果に応じた起動指示を、グローバルネットワーク２００を介して車両１０に送信する。

すると、通信機１１は、当該起動指示を複数のスレーブＥＣＵ３０１，３０２に送信する。複数のスレーブＥＣＵ３０１，３０２は、起動指示を受信すると、バージョンを示す情報の送信をそれぞれ停止する。そして、複数のスレーブＥＣＵ３０１，３０２は、上記ステップＳ２１，Ｓ２３で説明したように、自身が記憶しているスレーブソフトウェアの実行をそれぞれ開始する。

このように車両制御システム１３Ａが動作している最中で、スレーブＥＣＵ３０１がリセットされると、スレーブＥＣＵ３０１は再起動する。すると、スレーブＥＣＵ３０１は、自身が記憶している最新バージョンの第１スレーブソフトウェアのバージョンを示す情報を、通信機１１を介してデータセンター１００Ａに送信する。

マスター機器１２０は、複数のスレーブＥＣＵ３０１，３０２のうち、スレーブＥＣＵ３０１のみからバージョンを示す情報を受信した場合、スレーブＥＣＵ３０１が再起動スレーブＥＣＵであると特定する。そして、マスター機器１２０は、スレーブＥＣＵ３０１が再起動スレーブＥＣＵであることを示す不正起動通知を、通信機１１を介して複数のスレーブＥＣＵ３０１，３０２に送信する。以降の処理の流れは、上記複数の実施形態の場合と同様であるため、説明を割愛する。

（変更例）
上記複数の実施形態は、以下のように変更して実施することができる。上記複数の実施形態及び以下の変更例は、技術的に矛盾しない範囲で互いに組み合わせて実施することができる。

・マスターＥＣＵ２０及びマスター機器１２０が図３に示したような組み合わせテーブル５５を記憶しているのであれば、複数のスレーブＥＣＵ３０１～３０３，…は組み合わせテーブル５５を記憶していなくてもよい。この場合、マスターＥＣＵ２０及びマスター機器１２０は、不正起動通知を送信する場合、複数の機能６１～６４，…のうち、上記停止機能を示す情報も複数のスレーブＥＣＵ３０１～３０３，…に送信するとよい。

なお、車両制御システム１３の動作中にマスターＥＣＵ２０が再起動した場合、マスターＥＣＵ２０は、第１マスターソフトウェアの実行を停止した上で、複数の機能６１～６４，…のうちのマスター停止機能を示す情報を複数のスレーブＥＣＵ３０１～３０３，…に送信するとよい。マスター停止機能とは、マスターＥＣＵ２０で第１マスターソフトウェアの実行が停止されていても実現できる機能である。この場合、複数のスレーブＥＣＵ３０１～３０３，…では、当該情報を受信した場合、マスター停止機能以外の他の機能を実現できるように、自身が記憶している第１スレーブソフトウェアを実行するとよい。これにより、マスターＥＣＵ２０が実行するソフトウェアのバージョンと、複数のスレーブＥＣＵ３０１～３０３，…が実行するソフトウェアのバージョンとが不整合となっても、複数の機能のうちの一部の機能を車両１０で実現させることができる。

なお、図１４は、車両制御システム１３の動作中にマスターＥＣＵ２０のマスター実行部２１が実行する処理ルーチンである。本処理ルーチンにおいて、マスター実行部２１は、自身がリセットされたと判定した場合（Ｓ１３１：ＹＥＳ）、処理をステップＳ１３３に移行する。マスター実行部２１は、ステップＳ１３３においてマスターＥＣＵ２０が再起動したことを示す情報を複数のスレーブＥＣＵ３０１～３０３，…に送信し、次のステップＳ１３５においてマスター停止処理を実行する。そして、ステップＳ１３７において、マスター実行部２１は、図３に示した組み合わせテーブル５５を用いて上記マスター停止機能を特定し、マスター停止機能を示す情報を複数のスレーブＥＣＵ３０１～３０３，…に送信する。その後、マスター実行部２１は本処理ルーチンを一旦終了する。

・上記第１実施形態において、複数のスレーブＥＣＵ３０１～３０３，…が記憶する第１スレーブソフトウェアは、１つのバージョンのソフトウェアのみであってもよい。
・上記第１実施形態において、複数のスレーブＥＣＵ３０１～３０３，…は、起動した場合に、第１スレーブソフトウェアのバージョンを示す情報をマスターＥＣＵ２０に送信しなくてもよい。この場合、複数のスレーブＥＣＵ３０１～３０３，…は、車両制御システム１３の動作中に再起動した場合、自身が再起動したことを示す情報を他のＥＣＵに送信した上で、第１スレーブソフトウェアの実行を停止するとよい。さらに、当該他のＥＣＵは、車両制御システム１３の動作中に上記情報を受信した場合、当該情報を基に、複数のスレーブＥＣＵ３０１～３０３，…のうち何れのスレーブＥＣＵが再起動スレーブＥＣＵであるのかを特定できる。そして、再起動スレーブＥＣＵ以外のスレーブＥＣＵは、複数の機能のうち、上記停止機能以外の機能が実現できるように、自身が記憶している第１スレーブソフトウェアを実行する。また、マスターＥＣＵは、複数の機能のうち、上記停止機能以外の機能が実現できるように第１マスターソフトウェアを実行する。

・マスターＥＣＵ及びスレーブＥＣＵは、ＣＰＵとＲＯＭとを備えて、ソフトウェア処理を実行するものに限らない。すなわち、マスターＥＣＵ及びスレーブＥＣＵは、以下（ａ）～（ｃ）の何れかの構成であればよい。

（ａ）コンピュータプログラムに従って各種処理を実行する一つ以上のプロセッサを備えていること。プロセッサは、ＣＰＵ並びに、ＲＡＭ及びＲＯＭなどのメモリを含んでいる。メモリは、処理をＣＰＵに実行させるように構成されたプログラムコード又は指令を格納している。メモリ、すなわちコンピュータ可読媒体は、汎用又は専用のコンピュータでアクセスできるあらゆる利用可能な媒体を含んでいる。

（ｂ）各種処理を実行する一つ以上の専用のハードウェア回路を備えていること。専用のハードウェア回路としては、例えば、特定用途向け集積回路、すなわちＡＳＩＣ又はＦＰＧＡを挙げることができる。なお、ＡＳＩＣは、「Application Specific Integrated Circuit」の略記であり、ＦＰＧＡは、「Field Programmable Gate Array」の略記である。

（ｃ）各種処理の一部をコンピュータプログラムに従って実行するプロセッサと、各種処理のうちの残りの処理を実行する専用のハードウェア回路とを備えていること。
なお、本明細書において使用される「少なくとも１つ」という表現は、所望の選択肢の「１つ以上」を意味する。一例として、本明細書において使用される「少なくとも１つ」という表現は、選択肢の数が２つであれば「１つの選択肢のみ」又は「２つの選択肢の双方」を意味する。他の例として、本明細書において使用される「少なくとも１つ」という表現は、選択肢の数が３つ以上であれば「１つの選択肢のみ」又は「２つ以上の任意の選択肢の組み合わせ」を意味する。

＜技術的思想＞
次に、上記複数の実施形態及び複数の変更例から把握できる技術的思想を付記として記載する。

（付記１）複数の機能を車両で実現させる車両制御システムを構成する電子制御装置であって、
前記電子制御装置は、前記複数の機能を前記車両で実現させるためのソフトウェアを記憶する記憶部と、前記記憶部に記憶されている前記ソフトウェアを実行する実行部と、を備え、
前記実行部は、
前記車両制御システムの動作中に自身が再起動した場合に、前記記憶部に記憶されている前記ソフトウェアの実行を停止する停止処理と、
前記車両制御システムの動作中に他の電子制御装置が再起動した場合に、前記複数の機能のうち、当該他の電子制御装置でのソフトウェアの実行が停止されていても実現できる機能を実現させるために、前記記憶部に記憶されている前記ソフトウェアを実行する機能制限処理と、を行う、電子制御装置。

（付記２）前記電子制御装置はマスター機器と通信可能に構成されており、
前記実行部は、
前記電子制御装置の起動時には、自身が実行する前記ソフトウェアのバージョンを示す情報を前記マスター機器に送信するバージョン送信処理を行い、
前記バージョン送信処理を実行した後に、前記車両制御システムの動作中に前記電子制御装置が再起動したことを示す情報を前記マスター機器から受信した場合に前記停止処理を行い、
前記車両制御システムの動作中に前記他の電子制御装置が再起動したことを示す情報を前記マスター機器から受信した場合に前記機能制限処理を行う、付記１に記載の電子制御装置。

（付記３）前記記憶部は、前記ソフトウェアとして、複数のバージョンのソフトウェアを記憶できるように構成されており、
前記複数の機能のうち、前記電子制御装置で前記ソフトウェアの実行が停止された場合に実現が不能となる機能を停止機能としたとき、
前記実行部は、前記停止処理を実行することによって前記ソフトウェアの実行を停止した状況下で、実行を許可する前記ソフトウェアのバージョンを示す情報を前記マスター機器から受信した場合に、前記記憶部に記憶されている前記複数のバージョンのソフトウェアのうち、前記実行を許可する前記ソフトウェアのバージョンの前記ソフトウェアを実行することにより、前記停止機能の実現を可能にする制限解除処理を行う、付記２に記載の電子制御装置。

（付記４）前記記憶部を第１記憶部としたとき、
前記電子制御装置は、前記複数の機能のうち、第１機能を実現させるために必要な電子制御装置の種類、及び、前記複数の機能のうち、第２機能を実現させるために必要な電子制御装置の種類を記憶する第２記憶部を備え、
前記実行部は、前記機能制限処理において、前記第２記憶部に記憶されているデータに基づいて、前記複数の機能のうち、前記他の電子制御装置でのソフトウェアの実行が停止されていても実現できる機能を選択し、当該機能を実現させるために前記記憶部に記憶されている前記ソフトウェアを実行する、付記１～付記３のうち何れか一項に記載の電子制御装置。

（付記５）複数の機能を車両で実現させる車両制御システムを構成するとともに、前記車両制御システムを構成する複数のスレーブ電子制御装置と通信する電子制御装置であって、
前記複数の機能を前記車両で実現させるためのソフトウェアを記憶する記憶部と、
前記ソフトウェアを実行する実行部と、を備え、
前記実行部は、前記車両制御システムの動作中に自身が再起動したと判定した場合、前記ソフトウェアの実行を停止し、且つ前記複数の機能のうち、自身での前記ソフトウェアの実行が停止されていても実現できる機能を示す情報を前記複数のスレーブ電子制御装置に送信する、電子制御装置。

（付記６）車両に設けられているマスター機器及び複数のスレーブ電子制御装置を備えるとともに、複数の機能を前記車両で実現させる車両制御システムであって、
前記マスター機器は、付記５に記載の電子制御装置であり、
前記複数のスレーブ電子制御装置は、付記１～付記４のうち何れか１つに記載の電子制御装置である、車両制御システム。

（付記７）車両に設けられているマスター機器及び複数のスレーブ電子制御装置を備えるとともに、複数の機能を前記車両で実現させる車両制御システムであって、
前記複数のスレーブ電子制御装置は付記２に記載の電子制御装置であり、
前記マスター機器は、マスター実行部を備え、
前記複数のスレーブ電子制御装置のうち、前記車両制御システムの動作中に再起動したスレーブ電子制御装置を再起動スレーブ電子制御装置としたとき、
前記マスター実行部は、前記車両制御システムの動作中に、前記複数のスレーブ電子制御装置のうちの何れかから前記ソフトウェアのバージョンを示す情報を受信した場合に、前記複数のスレーブ電子制御装置のうち、当該バージョンを示す情報を送信してきた前記スレーブ電子制御装置が前記再起動スレーブ電子制御装置であることを示す情報を前記複数のスレーブ電子制御装置に送信する、車両制御システム。

（付記８）マスター機器と、車両に設けられている複数のスレーブ電子制御装置とによって、前記車両で複数の機能を実現させる車両制御方法であって、
前記複数のスレーブ電子制御装置は、前記マスター機器と情報の送受信が可能であるとともに、前記複数の機能を前記車両で実現させるためのソフトウェアを記憶する記憶部をそれぞれ備えるものであり、
前記スレーブ電子制御装置の起動時に、自身の前記記憶部に記憶されている前記ソフトウェアのバージョンを示す情報を、前記マスター機器に送信することを前記スレーブ電子制御装置に実行させるステップと、
前記複数のスレーブ電子制御装置のうち、これらを含むシステムの動作中に再起動したスレーブ電子制御装置を再起動スレーブ電子制御装置としたとき、前記システムの動作中に、前記複数のスレーブ電子制御装置のうちの何れかから前記ソフトウェアのバージョンを示す情報を前記マスター機器が受信した場合に、当該バージョンを示す情報を送信してきた前記スレーブ電子制御装置が前記再起動スレーブ電子制御装置であることを示す情報を前記複数のスレーブ電子制御装置に送信することを前記マスター機器に行わせるステップと、
前記再起動スレーブ電子制御装置の前記記憶部に記憶されている前記ソフトウェアの実行を停止させることを当該再起動スレーブ電子制御装置に行わせるステップと、
前記複数のスレーブ電子制御装置のうちの前記再起動スレーブ電子制御装置以外の他のスレーブ電子制御装置に行わせるステップであって、前記複数の機能のうち、前記再起動スレーブ電子制御装置で前記ソフトウェアを実行することが停止されていても実現できる機能を実現させるために、前記他のスレーブ電子制御装置の前記記憶部に記憶されている前記ソフトウェアを実行することを前記他のスレーブ電子制御装置に行わせるステップと、を含む、車両制御方法。

１０…車両
１３，１３Ａ…車両制御システム
２０…マスターＥＣＵ
２１…マスター実行部
２３…第１マスター記憶装置
２５…第２マスター記憶装置
３０１，３０２，３０３…スレーブＥＣＵ
３１…スレーブ実行部
３３…第１スレーブ記憶装置
３５…第２スレーブ記憶装置
１２０…マスター機器
１２１…マスター実行部
１２３…マスター記憶装置

Claims (11)

1. 複数の機能を車両で実現させる車両制御システムを構成する電子制御装置であって、
   前記電子制御装置は、前記複数の機能を前記車両で実現させるためのソフトウェアを記憶する記憶部と、前記記憶部に記憶されている前記ソフトウェアを実行する実行部と、を備え、且つ、マスター機器と通信可能に構成されており、
   前記実行部は、
   前記電子制御装置の起動時に、自身が実行する前記ソフトウェアのバージョンを示す情報を前記マスター機器に送信するバージョン送信処理と、
   前記バージョン送信処理を実行した後に、前記車両制御システムの動作中に前記電子制御装置が再起動したことを示す情報を前記マスター機器から受信した場合に、前記記憶部に記憶されている前記ソフトウェアの実行を停止する停止処理と、
   前記車両制御システムの動作中に他の電子制御装置が再起動したことを示す情報を前記マスター機器から受信した場合に、前記複数の機能のうち、当該他の電子制御装置でのソフトウェアの実行が停止されていても実現できる機能を実現させるために、前記記憶部に記憶されている前記ソフトウェアを実行する機能制限処理と、を行う
   電子制御装置。
2. 前記記憶部は、前記ソフトウェアとして、複数のバージョンのソフトウェアを記憶できるように構成されており、
   前記複数の機能のうち、前記電子制御装置で前記ソフトウェアの実行が停止された場合に実現が不能となる機能を停止機能としたとき、
   前記実行部は、前記停止処理を実行することによって前記ソフトウェアの実行を停止した状況下で、実行を許可する前記ソフトウェアのバージョンを示す情報を前記マスター機器から受信した場合に、前記記憶部に記憶されている前記複数のバージョンのソフトウェアのうち、前記実行を許可する前記ソフトウェアのバージョンの前記ソフトウェアを実行することにより、前記停止機能の実現を可能にする制限解除処理を行う
   請求項１に記載の電子制御装置。
3. 前記記憶部を第１記憶部としたとき、
   前記電子制御装置は、前記複数の機能のうち、第１機能を実現させるために必要な電子制御装置の種類、及び、前記複数の機能のうち、第２機能を実現させるために必要な電子制御装置の種類を記憶する第２記憶部を備え、
   前記実行部は、前記機能制限処理において、前記第２記憶部に記憶されているデータに基づいて、前記複数の機能のうち、前記他の電子制御装置でのソフトウェアの実行が停止されていても実現できる機能を選択し、当該機能を実現させるために前記記憶部に記憶されている前記ソフトウェアを実行する
   請求項１又は請求項２に記載の電子制御装置。
4. 複数の機能を車両で実現させる車両制御システムを構成するとともに、前記車両制御システムを構成する複数のスレーブ電子制御装置と通信する電子制御装置であって、
   前記複数の機能を前記車両で実現させるためのソフトウェアを記憶する記憶部と、
   前記ソフトウェアを実行する実行部と、を備え、
   前記実行部は、前記車両制御システムの動作中に自身が再起動したと判定した場合、前記ソフトウェアの実行を停止し、且つ前記複数の機能のうち、自身での前記ソフトウェアの実行が停止されていても実現できる機能を示す情報を前記複数のスレーブ電子制御装置に送信する
   電子制御装置。
5. 車両に設けられているマスター機器及び複数のスレーブ電子制御装置を備えるとともに、複数の機能を前記車両で実現させる車両制御システムであって、
   前記マスター機器は、請求項４に記載の電子制御装置であり、
   前記複数のスレーブ電子制御装置は、
   前記複数の機能を前記車両で実現させるためのソフトウェアを記憶する記憶部と、前記記憶部に記憶されている前記ソフトウェアを実行する実行部と、を備え、
   前記実行部は、
   前記車両制御システムの動作中に自身が再起動した場合に、前記記憶部に記憶されている前記ソフトウェアの実行を停止する停止処理と、
   前記車両制御システムの動作中に他の電子制御装置が再起動した場合に、前記複数の機能のうち、当該他の電子制御装置でのソフトウェアの実行が停止されていても実現できる機能を実現させるために、前記記憶部に記憶されている前記ソフトウェアを実行する機能制限処理と、を行う電子制御装置である
   車両制御システム。
6. 車両に設けられているマスター機器及び複数のスレーブ電子制御装置を備えるとともに、複数の機能を前記車両で実現させる車両制御システムであって、
   前記複数のスレーブ電子制御装置は請求項１に記載の電子制御装置であり、
   前記マスター機器は、マスター実行部を備え、
   前記複数のスレーブ電子制御装置のうち、前記車両制御システムの動作中に再起動したスレーブ電子制御装置を再起動スレーブ電子制御装置としたとき、
   前記マスター実行部は、前記車両制御システムの動作中に、前記複数のスレーブ電子制御装置のうちの何れかから前記ソフトウェアのバージョンを示す情報を受信した場合に、前記複数のスレーブ電子制御装置のうち、当該バージョンを示す情報を送信してきた前記スレーブ電子制御装置が前記再起動スレーブ電子制御装置であることを示す情報を前記複数のスレーブ電子制御装置に送信する
   車両制御システム。
7. マスター機器と、車両に設けられている複数のスレーブ電子制御装置とによって、前記車両で複数の機能を実現させる車両制御方法であって、
   前記複数のスレーブ電子制御装置は、前記マスター機器と情報の送受信が可能であるとともに、前記複数の機能を前記車両で実現させるためのソフトウェアを記憶する記憶部をそれぞれ備えるものであり、
   前記スレーブ電子制御装置の起動時に、自身の前記記憶部に記憶されている前記ソフトウェアのバージョンを示す情報を、前記マスター機器に送信することを前記スレーブ電子制御装置に実行させるステップと、
   前記複数のスレーブ電子制御装置のうち、これらを含むシステムの動作中に再起動したスレーブ電子制御装置を再起動スレーブ電子制御装置としたとき、前記システムの動作中に、前記複数のスレーブ電子制御装置のうちの何れかから前記ソフトウェアのバージョンを示す情報を前記マスター機器が受信した場合に、当該バージョンを示す情報を送信してきた前記スレーブ電子制御装置が前記再起動スレーブ電子制御装置であることを示す情報を前記複数のスレーブ電子制御装置に送信することを前記マスター機器に行わせるステップと、
   前記再起動スレーブ電子制御装置の前記記憶部に記憶されている前記ソフトウェアの実行を停止させることを当該再起動スレーブ電子制御装置に行わせるステップと、
   前記複数のスレーブ電子制御装置のうちの前記再起動スレーブ電子制御装置以外の他のスレーブ電子制御装置に行わせるステップであって、前記複数の機能のうち、前記再起動スレーブ電子制御装置で前記ソフトウェアを実行することが停止されていても実現できる機能を実現させるために、前記他のスレーブ電子制御装置の前記記憶部に記憶されている前記ソフトウェアを実行することを前記他のスレーブ電子制御装置に行わせるステップと、を含む
   車両制御方法。
8. 複数の機能を車両で実現させる車両制御システムを構成する電子制御装置であって、前記複数の機能を前記車両で実現させるためのソフトウェアを記憶する記憶部と、前記記憶部に記憶されている前記ソフトウェアを実行する実行部と、を備え、且つ、マスター機器と通信可能に構成されている電子制御装置、
   に適用されるプログラムであって、
   前記実行部に、
   前記電子制御装置の起動時に、自身が実行する前記ソフトウェアのバージョンを示す情報を前記マスター機器に送信するバージョン送信処理と、
   前記バージョン送信処理を実行した後に、前記車両制御システムの動作中に前記電子制御装置が再起動したことを示す情報を前記マスター機器から受信した場合に、前記記憶部に記憶されている前記ソフトウェアの実行を停止する停止処理と、
   前記車両制御システムの動作中に他の電子制御装置が再起動したことを示す情報を前記マスター機器から受信した場合に、前記複数の機能のうち、当該他の電子制御装置でのソフトウェアの実行が停止されていても実現できる機能を実現させるために、前記記憶部に記憶されている前記ソフトウェアを実行する機能制限処理と、を実行させる
   プログラム。
9. 複数の機能を車両で実現させる車両制御システムを構成するとともに、前記車両制御システムを構成する複数のスレーブ電子制御装置と通信する電子制御装置であって、前記複数の機能を前記車両で実現させるためのソフトウェアを記憶する記憶部と、前記ソフトウェアを実行する実行部と、を備える電子制御装置、
   に適用されるプログラムであって、
   前記実行部に、前記車両制御システムの動作中に自身が再起動したと判定した場合、前記ソフトウェアの実行を停止し、且つ前記複数の機能のうち、自身での前記ソフトウェアの実行が停止されていても実現できる機能を示す情報を前記複数のスレーブ電子制御装置に送信させる
   プログラム。
10. 複数の機能を車両で実現させる車両制御システムを構成する電子制御装置であって、前記電子制御装置は、前記複数の機能を前記車両で実現させるためのソフトウェアを記憶する記憶部と、前記記憶部に記憶されている前記ソフトウェアを実行する実行部と、を備え、且つ、マスター機器と通信可能に構成されている電子制御装置、
    による車両制御方法であって、
    前記実行部が、
    前記電子制御装置の起動時に、自身が実行する前記ソフトウェアのバージョンを示す情報を前記マスター機器に送信するバージョン送信処理と、
    前記バージョン送信処理を実行した後に、前記車両制御システムの動作中に前記電子制御装置が再起動したことを示す情報を前記マスター機器から受信した場合に、前記記憶部に記憶されている前記ソフトウェアの実行を停止する停止処理と、
    前記車両制御システムの動作中に他の電子制御装置が再起動したことを示す情報を前記マスター機器から受信した場合に、前記複数の機能のうち、当該他の電子制御装置でのソフトウェアの実行が停止されていても実現できる機能を実現させるために、前記記憶部に記憶されている前記ソフトウェアを実行する機能制限処理と、を行う
    車両制御方法。
11. 複数の機能を車両で実現させる車両制御システムを構成するとともに、前記車両制御システムを構成する複数のスレーブ電子制御装置と通信する電子制御装置であって、前記複数の機能を前記車両で実現させるためのソフトウェアを記憶する記憶部と、前記ソフトウェアを実行する実行部と、を備えた電子制御装置、
    による車両制御方法であって、
    前記実行部が、前記車両制御システムの動作中に自身が再起動したと判定した場合、前記ソフトウェアの実行を停止し、且つ前記複数の機能のうち、自身での前記ソフトウェアの実行が停止されていても実現できる機能を示す情報を前記複数のスレーブ電子制御装置に送信する
    車両制御方法。

Images