ホーム > 特許ランキング > トヨタ自動車株式会社
知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2025-01-06
(45)【発行日】2025-01-15
(54)【発明の名称】車載システムおよび制御装置
(51)【国際特許分類】
G06F 8/65 20180101AFI20250107BHJP
【ＦＩ】
G06F8/65
【請求項の数】
8
(21)【出願番号】P 2022059407
(22)【出願日】2022-03-31
(65)【公開番号】P2023150341
(43)【公開日】2023-10-16
【審査請求日】2023-12-19
(73)【特許権者】
【識別番号】000003207
【氏名又は名称】トヨタ自動車株式会社
(74)【代理人】
【識別番号】110001195
【氏名又は名称】弁理士法人深見特許事務所
(72)【発明者】
【氏名】塩原 和義
(72)【発明者】
【氏名】三宅 優樹
(72)【発明者】
【氏名】藤元 貴之
【審査官】円子 英紀
(56)【参考文献】
【文献】特開２０１９－１５９３９９（ＪＰ，Ａ）
【文献】特開２０１５－００５０４１（ＪＰ，Ａ）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ ８／６５
(57)【特許請求の範囲】
【請求項1】
ソフトウェアを記憶する記憶領域として設定された複数の記憶領域のうちのいずれかの記憶領域を起動用記憶領域として設定し、前記起動用記憶領域に記憶された前記ソフトウェアを用いて起動可能な制御装置を複数含むことによって構成される車載システムであって、複数の前記制御装置は、マスタ制御装置とスレイブ制御装置とを含み、
前記マスタ制御装置は、前記スレイブ制御装置において、前記起動用記憶領域と異なる記憶領域に記憶されるソフトウェアが更新された場合に、前記スレイブ制御装置に対して更新された前記ソフトウェアが記憶される記憶領域を前記起動用記憶領域に設定する切替指示を実行し、
前記スレイブ制御装置は、前記切替指示を受けた場合には、次回の起動時に前記起動用記憶領域の設定を実施するとともに、起動毎に前記起動用記憶領域に記憶された前記ソフトウェアの識別情報が複数の前記制御装置間で整合しているか否かを判定するための整合判定処理の実行を前記マスタ制御装置に要求し、
前記マスタ制御装置は、前記スレイブ制御装置から前記整合判定処理の実行の要求を受けたときに前記整合判定処理を実行し、
前記マスタ制御装置は、前記整合判定処理の完了後に完了通知を前記スレイブ制御装置に送信し、
前記スレイブ制御装置は、前記完了通知を用いて前記整合判定処理の実行を要求するか否かを決定する、車載システム。
【請求項2】
前記マスタ制御装置は、前記起動用記憶領域に記憶された前記ソフトウェアの識別情報が複数の前記制御装置間で整合していないと判定される場合には、前記ソフトウェアにより実現される機能の実行を禁止する、請求項１に記載の車載システム。
【請求項3】
前記スレイブ制御装置は、起動時に前記整合判定処理の実行可否の判定を前記マスタ制御装置に要求し、
前記マスタ制御装置からの前記実行可否の判定結果と前記完了通知とを用いて前記整合判定処理の実行を要求するか否かを決定する、請求項１に記載の車載システム。
【請求項4】
前記スレイブ制御装置は、第１制御装置と第２制御装置とを含み、前記マスタ制御装置は、前記第１制御装置から前記実行可否の判定要求を受ける場合には、前記第１制御装置からの前記判定要求よりも前に前記第２制御装置からの前記判定要求を受けていないときに前記整合判定処理の実行が可能であることを示す判定結果を前記第１制御装置に送信する、請求項３に記載の車載システム。
【請求項5】
前記マスタ制御装置は、前記第１制御装置から前記実行可否の判定が要求された後に前記第２制御装置から前記実行可否の判定が要求されるときに前記判定結果を前記第２制御装置に送信することを禁止する、請求項４に記載の車載システム。
【請求項6】
前記マスタ制御装置は、起動時に実行される前記整合判定処理の第１完了通知と、前記スレイブ制御装置から前記整合判定処理の実行が要求されたときに実行される前記整合判定処理の第２完了通知とを前記スレイブ制御装置に送信し、前記スレイブ制御装置は、前記第１完了通知を受信した場合および前記第２完了通知を受信した場合は、前記整合判定処理の実行の要求を停止し、前記第１完了通知を受信しない場合は、前記整合判定処理の実行を要求する、請求項１～５のいずれかに記載の車載システム。
【請求項7】
ソフトウェアを記憶する記憶領域として設定された複数の記憶領域のうちのいずれかの記憶領域を起動用記憶領域として設定し、前記起動用記憶領域に記憶されたソフトウェアを用いて起動可能な複数の制御装置のうちのいずれかの制御装置であって、前記制御装置は、他の制御装置において、前記起動用記憶領域と異なる記憶領域に記憶されるソフトウェアが更新された場合に、前記他の制御装置に対して、更新された前記ソフトウェアが記憶される記憶領域を前記起動用記憶領域に設定する切替指示を実行し、
前記他の制御装置において前記切替指示を受けると、次回の起動時に前記起動用記憶領域の設定が実施されるとともに、起動毎に前記起動用記憶領域に記憶された前記ソフトウェアの識別情報が前記複数の制御装置間で整合しているか否かを判定するための整合判定処理の実行が前記制御装置に要求され、
前記制御装置は、前記他の制御装置から前記整合判定処理の実行の要求を受けたときに前記整合判定処理を実行し、
前記制御装置は、前記整合判定処理の完了後に完了通知を前記他の制御装置に送信し、
前記他の制御装置は、前記完了通知を用いて前記整合判定処理の実行を要求するか否かを決定する、制御装置。
【請求項8】
ソフトウェアを記憶する記憶領域として設定された複数の記憶領域のうちのいずれかの記憶領域を起動用記憶領域として設定し、前記起動用記憶領域に記憶されたソフトウェアを用いて起動可能な複数の制御装置のうちのいずれかの制御装置であって、前記制御装置は、前記起動用記憶領域と異なる記憶領域に記憶されるソフトウェアが更新された場合に、更新された前記ソフトウェアが記憶される記憶領域が前記起動用記憶領域に設定する切替指示を受けると、次回の起動時に前記起動用記憶領域の設定を実施するとともに、起動毎に前記起動用記憶領域に記憶された前記ソフトウェアの識別情報が前記複数の制御装置間で整合しているか否かを判定するための整合判定処理の実行を前記複数の制御装置のうちのいずれかのマスタ制御装置に要求し、
前記マスタ制御装置において前記制御装置から前記整合判定処理の実行の要求を受けたときに前記整合判定処理が実行され、
前記マスタ制御装置における前記整合判定処理の完了後に完了通知が前記制御装置に送信され、
前記制御装置は、前記完了通知を用いて前記整合判定処理の実行を要求するか否かを決定する、制御装置。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、ソフトウェアの更新が可能な制御装置を含む車載システムに関する。
【背景技術】
【0002】
車両には、複数のアクチュエータとその各々を制御する複数の制御装置とによって構成される車載システムが搭載される。これらの複数の制御装置の機能としては、ソフトウェアによって実現される場合がある。ソフトウェアによって実現されることにより、市場に出た後においても更新プログラムの提供を受けることで機能の修正や追加等が可能となる。また、自動運転等の各種運転支援のような複数の制御装置間で連携して行なわれる機能の修正や追加に対しては、対象となる全ての制御装置のソフトウェアの更新が求められ、各々の制御装置における更新が適切に行なわれたかについての確認が求められる。
【0003】
たとえば、特開２０２０－１２３２５３号公報（特許文献１）には、車載システムの起動時に応じて、各ＥＣＵの記憶部に格納されたリストの識別情報を比較し、リストに記録されているソフトウェアの識別情報の組み合わせを用いて複数のＥＣＵの各々のソフトウェアの組み合わせが整合しているか否かを判定する技術が開示されている。
【先行技術文献】
【特許文献】
【0004】
【文献】特開２０２０－１２３２５３号公報
【発明の概要】
【発明が解決しようとする課題】
【0005】
更新後のソフトウェアの実行は、複数のＥＣＵにおいて更新前のソフトウェアから一斉に切り替えるために次回の車載システムの起動時に行なわれる場合がある。その場合、ソフトウェアの更新が適切に行なわれたかについての確認も次回の車載システムの起動時に行なわれることとなる。
【0006】
しかしながら、複数の制御装置のうちのいずれかにおいて次回の車載システムの起動時までの間に電源の瞬断等の何らかの不具合によって一部の制御装置のみが再起動すると、再起動した一部の制御装置においてのみ更新後のソフトウェアが実行されることとなり、複数の制御装置におけるソフトウェアの識別情報の組み合わせが不整合な状態が少なくとも次回の車載システムの起動時まで継続することとなり、機能の修正や追加が適切に実施できない場合がある。
【0007】
本開示は、上述した課題を解決するためになされたものであって、その目的は、複数の制御装置においてソフトウェアの識別情報の組み合わせの不整合を早期に検出する車載システムおよび制御装置を提供することである。
【課題を解決するための手段】
【0008】
本開示のある局面に係る車載システムは、ソフトウェアを記憶する記憶領域として設定された複数の記憶領域のうちのいずれかの記憶領域を起動用記憶領域として設定し、起動用記憶領域に記憶されたソフトウェアを用いて起動可能な制御装置を複数含むことによって構成される車載システムである。複数の制御装置は、マスタ制御装置とスレイブ制御装置とを含む。マスタ制御装置は、スレイブ制御装置において、起動用記憶領域と異なる記憶領域に記憶されるソフトウェアが更新された場合に、スレイブ制御装置に対して更新されたソフトウェアが記憶される記憶領域を起動用記憶領域に設定する切替指示を実行する。スレイブ制御装置は、切替指示を受けた場合には、次回の起動時に起動用記憶領域の設定を実施するとともに、起動毎に起動用記憶領域に記憶されたソフトウェアの識別情報が複数の制御装置間で整合しているか否かを判定するための整合判定処理の実行をマスタ制御装置に要求する。マスタ制御装置は、スレイブ制御装置から整合判定処理の実行の要求を受けたときに整合判定処理を実行する。
【0009】
このようにすると、スレイブ制御装置の起動毎にマスタ制御装置に対して整合判定処理の実行が要求され、マスタ制御装置において整合判定処理が実行される。そのため、更新されたソフトウェアを記憶する記憶領域が次回の起動時に起動用記憶領域として設定される場合において、不具合等によりスレイブ制御装置のみが再起動した場合でも再起動時に整合判定処理の実行がマスタ制御装置に要求される。これにより、複数の制御装置においてソフトウェアの識別情報の組み合わせの不整合を早期に検出することができる。
【0010】
ある実施の形態においては、マスタ制御装置は、起動用記憶領域に記憶されたソフトウェアの識別情報が複数の制御装置間で整合していないと判定される場合には、ソフトウェアにより実現される機能の実行を禁止する。
【0011】
このようにすると、複数の制御装置においてソフトウェアの識別情報の組み合わせが整合していない状態でソフトウェアにより実現される機能が実行されることを抑制することができる。
【0012】
さらにある実施の形態においては、マスタ制御装置は、整合判定処理の完了後に完了通知をスレイブ制御装置に送信する。スレイブ制御装置は、完了通知を用いて整合判定処理の実行を要求するか否かを決定する。
【0013】
このようにすると、たとえば、マスタ制御装置に対して整合判定処理の実行の要求が複数ある場合に、不必要に整合判定処理が実行されることを抑制することができる。
【0014】
さらにある実施の形態においては、スレイブ制御装置は、起動時に整合判定処理の実行可否の判定をマスタ制御装置に要求する。スレイブ制御装置は、マスタ制御装置からの実行可否の判定結果と完了通知とを用いて整合判定処理の実行を要求するか否かを決定する。
【0015】
このようにすると、整合判定処理の実行を要求する前に、実行の可否の判定を要求することで、不必要に整合判定処理の実行を要求することを抑制することができる。
【0016】
さらにある実施の形態においては、スレイブ制御装置は、第１制御装置と第２制御装置とを含む。マスタ制御装置は、第１制御装置から実行可否の判定要求を受ける場合には、第１制御装置からの判定要求よりも前に第２制御装置からの判定要求を受けていないときに整合判定処理の実行が可能であることを示す判定結果を第１制御装置に送信する。
【0017】
このようにすると、マスタ制御装置は、第２制御装置よりも先に判定要求を受けた第１制御装置に対して整合判定処理の実行が可能であることを示す判定結果を送信することにより第１制御装置からの要求に応じて整合判定処理を実行することができる。
【0018】
さらにある実施の形態においては、マスタ制御装置は、第１制御装置から実行可否の判定が要求された後に第２制御装置から実行可否の判定が要求されるときに判定結果を第２制御装置に送信することを禁止する。
【0019】
このようにすると、第１制御装置と第２制御装置の両方から整合判定処理の実行が要求されることを抑制することができる。
【0020】
さらにある実施の形態においては、マスタ制御装置は、起動時に実行される整合判定処理の第１完了通知と、スレイブ制御装置から整合判定処理の実行が要求されたときに実行される整合判定処理の第２完了通知とをスレイブ制御装置に送信する。スレイブ制御装置は、第１完了通知を受信した場合および第２完了通知を受信した場合は、整合判定処理の実行の要求を停止し、第１完了通知を受信しない場合は、整合判定処理の実行を要求する。
【0021】
このようにすると、スレイブ制御装置が不必要に整合判定処理の実行を要求することを抑制することができる。
【0022】
本開示の他の局面に係る制御装置は、ソフトウェアを記憶する記憶領域として設定された複数の記憶領域のうちのいずれかの記憶領域を起動用記憶領域として設定し、起動用記憶領域に記憶されたソフトウェアを用いて起動可能な複数の制御装置のうちのいずれかの制御装置である。制御装置は、他の制御装置において、起動用記憶領域と異なる記憶領域に記憶されるソフトウェアが更新された場合に、他の制御装置に対して、更新されたソフトウェアが記憶される記憶領域を起動用記憶領域に設定する切替指示を実行する。他の制御装置において切替指示を受けると、次回の起動時に起動用記憶領域の設定が実施されるとともに、起動毎に起動用記憶領域に記憶されたソフトウェアの識別情報が複数の制御装置間で整合しているか否かを判定するための整合判定処理の実行が制御装置に要求される。制御装置は、他の制御装置から整合判定処理の実行の要求を受けたときに整合判定処理を実行する。
【0023】
本開示のさらに他の局面に係る制御装置は、ソフトウェアを記憶する記憶領域として設定された複数の記憶領域のうちのいずれかの記憶領域を起動用記憶領域として設定し、起動用記憶領域に記憶されたソフトウェアを用いて起動可能な複数の制御装置のうちのいずれかの制御装置である。制御装置は、起動用記憶領域と異なる記憶領域に記憶されるソフトウェアが更新された場合に、更新されたソフトウェアが記憶される記憶領域が起動用記憶領域に設定する切替指示を受けると、次回の起動時に起動用記憶領域の設定を実施するとともに、起動毎に起動用記憶領域に記憶されたソフトウェアの識別情報が複数の制御装置間で整合しているか否かを判定するための整合判定処理の実行を複数の制御装置のうちのいずれかのマスタ制御装置に要求する。マスタ制御装置において制御装置から整合判定処理の実行の要求を受けたときに整合判定処理が実行される。
【発明の効果】
【0024】
本開示によると、複数の制御装置においてソフトウェアの識別情報の組み合わせの不整合を早期に検出する車載システムおよび制御装置を提供することができる。
【図面の簡単な説明】
【0025】
【図1】通信システムの構成の一例を説明するための図である。
【図2】本実施の形態における電動車両の構成の一例を概略的に示す図である。
【図3】マスタＥＣＵとスレイブＥＣＵとで行なわれる動作の一例を説明するための図である。
【図4】マスタＥＣＵとスレイブＥＣＵとで実行品番の組み合わせが不整合の状態になる場合の動作の一例を説明するための図である。
【図5】マスタＥＣＵで実行される処理の一例を示すフローチャートである。
【図6】マスタＥＣＵで実行される他の処理の一例を示すフローチャートである。
【図7】スレイブＥＣＵで実行される処理の一例を示すフローチャートである。
【図8】マスタＥＣＵの動作の一例とスレイブＥＣＵの動作の一例とを説明するための図である。
【図9】変形例における電動車両の構成の一例を概略的に示す図である。
【図10】変形例におけるマスタＥＣＵと複数のスレイブＥＣＵとで行なわれる動作の一例を説明するための図である。
【図11】変形例においてマスタＥＣＵで実行される処理の一例を示すフローチャートである。
【図12】変形例においてマスタＥＣＵで実行される他の処理の一例を示すフローチャートである。
【図13】変形例において第１スレイブＥＣＵおよび第２スレイブＥＣＵの各々で実行される他の処理の一例を示すフローチャートである。
【図14】変形例におけるマスタＥＣＵの動作の一例と各スレイブＥＣＵの動作の一例とを説明するための図である。
【発明を実施するための形態】
【0026】
以下、本開示の実施の形態について、図面を参照しながら詳細に説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。
【0027】
図１は、通信システム１の構成の一例を説明するための図である。図１に示すうように、通信システム１は、管理サーバ７と、通信ネットワーク６と、管理サーバ７と通信ネットワーク６を経由して通信可能な電動車両１００とを含む。
【0028】
管理サーバ７は、たとえば、ＣＰＵ（Central Control Unit）と、各種メモリと、通信インターフェースとを含むコンピュータである。管理サーバ７には、複数の車両に各種ソフトウェアの更新情報を提供したり、複数の車両の各々に記憶される各種ソフトウェアの更新状況を管理したりする。図１には、複数の車両のうちの一つである電動車両１００が一例として示されている。以下の説明においては、管理サーバ７と電動車両１００との間で授受される情報等について説明するが、管理サーバ７と他の車両との間で授受される情報も同様であり、その詳細な説明は繰り返さない。
【0029】
管理サーバ７の記憶装置（図示せず）には、たとえば、電動車両１００を識別するため固有の情報である識別情報（以下、車両ＩＤと記載する）が予め記憶される。電動車両１００に記憶される各種ソフトウェアは、たとえば、電動車両１００に搭載される複数のＥＣＵ（Electronic Control Unit）にそれぞれ記憶される制御プログラムを含む。管理サーバ７は、電動車両１００のＥＣＵ単位で各種ソフトウェアのバージョン情報を含む識別情報を管理する。管理サーバ７の記憶装置には、後述するように電動車両１００に含まれるマスタＥＣＵのソフトウェアのバージョン情報と、スレイブＥＣＵのソフトウェアのバージョン情報とが車両ＩＤに対応付けて記憶される。管理サーバ７は、ソフトウェアのバージョン情報を固有の品番を用いて管理する。管理サーバ７は、更新情報を電動車両１００に提供した場合には、提供した更新情報に対応する品番を用いて電動車両１００における各種ソフトウェアの更新状況を管理する。
【0030】
管理サーバ７は、たとえば、新しい品番（新バージョン）のソフトウェアが準備されると、電動車両１００に対して制御プログラムの更新を要求したり、電動車両１００からの要求に応じて新しい品番のソフトウェアを電動車両１００に提供したりする。
【0031】
次に、本実施の形態における電動車両１００の具体的な構成について図２を参照しつつ説明する。図２は、本実施の形態における電動車両１００の構成の一例を概略的に示す図である。図２に示すように、電動車両１００は、マスタＥＣＵ２００と、スレイブＥＣＵ２１０と、駆動装置２２０と、ＤＣＭ（Data Communication Module）２３０と、ＡＤＳ（Autonomous Driving System）２４０と、通信バス２５０とを含む。マスタＥＣＵ２００と、スレイブＥＣＵ２１０と、ＡＤＳ２４０とは、通信バス２５０を経由して通信可能に接続される。
【0032】
マスタＥＣＵ２００は、後述する更新された品番のソフトウェアへの切り替えをスレイブＥＣＵ２１０に対して指示したり、自身を含む各ＥＣＵのソフトウェアの更新状況を管理したりするＥＣＵである。マスタＥＣＵ２００が「マスタ制御装置」に対応する。
【0033】
マスタＥＣＵ２００は、ＣＰＵ２０１とメモリ２０２とを含む。ＣＰＵ２０１がメモリ２０２に格納されたプログラムを実行することによりマスタＥＣＵ２００の制御対象（たとえば、ＤＣＭ２３０等）に対して各種制御が実行される。メモリ２０２は、第１記憶領域２０２Ａと、第２記憶領域２０２Ｂとを含む。第１記憶領域２０２Ａおよび第２記憶領域２０２ＢのいずれにもマスタＥＣＵ２００を起動させるための制御プログラムが記憶される。マスタＥＣＵ２００は、第１記憶領域２０２Ａおよび第２記憶領域２０２Ｂのいずれか一方を起動用記憶領域に設定し、起動時においては、設定された起動用記憶領域に記憶された制御プログラムを実行して起動する。マスタＥＣＵ２００は、ＤＣＭ２３０を経由して管理サーバ７から更新情報の提供を受けた場合には、起動用記憶領域として設定された記憶領域以外の記憶領域（以下、更新用記憶領域と記載する場合がある）に更新情報を用いて更新された制御プログラムを記憶させる。マスタＥＣＵ２００は、更新用記憶領域に更新されたプログラムが記憶される場合には、更新用記憶領域を次回の起動時における起動用記憶領域として設定するとともに、後述するスレイブＥＣＵ２１０に対しても更新用記憶領域を次回の起動時における起動用記憶領域に設定するように指示する。
【0034】
そのため、電動車両１００がＩＧオフ（電源オフ）された後に、ユーザによる起動操作等によりＩＧオン状態（電源オン状態）になると、マスタＥＣＵ２００およびスレイブＥＣＵ２１０の各々において、起動用記憶領域に記憶された更新後の制御プログラムを実行して起動する。なお、起動時まで起動用記憶領域に設定されていた記憶領域は、更新用記憶領域として設定される。以下、起動用記憶領域を変更して新たに設定することを起動用記憶領域の切り替えと称する場合がある。
【0035】
マスタＥＣＵ２００は、スレイブＥＣＵ２１０に記憶された更新後の制御プログラムの品番（以下、更新品番と記載する）を管理サーバ７またはスレイブＥＣＵ２１０から取得し、メモリ２０２に記憶する。さらに、マスタＥＣＵ２００は、後述するようにスレイブＥＣＵ２１０から実行中の制御プログラムの品番（以下、実行品番と記載する）を取得し、メモリ２０２に記憶する。
【0036】
ＤＣＭ２３０は、管理サーバ７と無線通信可能に構成される車載の通信モジュールである。ＤＣＭ２３０は、マスタＥＣＵ２００からの制御信号に応じて管理サーバ７との間で双方向のデータ通信が可能に構成される。ＤＣＭ２３０は、マスタＥＣＵ２００に接続される。マスタＥＣＵ２００は、ＤＣＭ２３０を介して、電動車両１００に関する情報や各種要求等を管理サーバ７に送信したり、各種ソフトウェアの更新情報を管理サーバ７から受信したりする。
【0037】
スレイブＥＣＵ２１０は、ＣＰＵ２１１とメモリ２１２とを含む。スレイブＥＣＵ２１０が「スレイブ制御装置」に対応する。ＣＰＵ２１１がメモリ２１２に格納されたプログラムを実行することによりスレイブＥＣＵ２１０の制御対象（たとえば、駆動装置２２０等）に対して各種制御が実行される。メモリ２１２は、第３記憶領域２１２Ａと、第４記憶領域２１２Ｂとを含む。第３記憶領域２１２Ａおよび第４記憶領域２１２ＢのいずれにもスレイブＥＣＵ２１０を起動させるための制御プログラムが記憶される。スレイブＥＣＵ２１０は、第３記憶領域２１２Ａおよび第４記憶領域２１２Ｂのうちのいずれか一方を起動用記憶領域に設定し、起動時においては、設定された起動用記憶領域に記憶された制御プログラムを実行して起動する。スレイブＥＣＵ２１０は、ＤＣＭ２３０を経由して管理サーバ７から更新情報の提供を受けた場合であって、かつ、マスタＥＣＵ２００から起動用記憶領域の切り替えの指示を受けた場合には、更新用記憶領域を次回の起動時における起動用記憶領域として設定する。
【0038】
駆動装置２２０は、スレイブＥＣＵ２１０に接続されており、スレイブＥＣＵ２１０からの制御信号に応じて電動車両１００を駆動させる駆動動作を行なう。駆動装置２２０は、たとえば、モータジェネレータと、蓄電装置と、ＰＣＵ（Power Control Unit）（いずれも図示せず）とを含む。蓄電装置は、たとえば、ニッケル水素電池や、液体または固体の電解質を有するリチウムイオン電池等の二次電池、あるいは、キャパシタ等の直流電源を含む。ＰＣＵは、蓄電装置の直流電力を交流電力に変換してモータジェネレータに供給したり、あるいは、モータジェネレータにおいて発電された交流電力を直流電力に変換して蓄電装置に供給したりする。モータジェネレータは、電動車両１００の駆動源であって、かつ、発電源であり、駆動輪を回転駆動させたり、あるいは、駆動輪の回転によって発電したりする。なお、駆動装置２２０は、駆動源あるいは発電源として内燃機関をさらに含むようにしてもよい。
【0039】
ＡＤＳ２４０は、電動車両１００の自動運転を実施可能に構成される。具体的には、ＡＤＳ２４０は、マスタＥＣＵ２００およびスレイブＥＣＵ２１０や各種センサから電動車両１００の状態を示す情報（周囲環境）を取得し、取得された情報や目的地等を用いて走行計画を作成する。ＡＤＳ２４０は、作成された走行計画に従って電動車両１００を走行させるための各種制御要求を駆動装置２２０を含む各種アクチュエータを制御するマスタＥＣＵ２００およびスレイブＥＣＵ２１０に出力する。
【0040】
なお、本実施の形態においてＡＤＳ２４０は、電動車両１００に内蔵されるものとして説明するが、たとえば、電動車両１００のルーフトップ等の予め定められた位置に取り付け可能であって、かつ、電動車両１００から取り外し可能な自動運転キットによって構成されてもよい。
【0041】
電動車両１００においては、ＡＤＳ２４０からの制御要求に従った自動運転の実施が可能な自動運転モードと、ユーザによる各種操作（アクセル操作、ブレーキ操作、ステアリング操作）に応じた運転の実施が可能な手動運転モードとのうちのいずれかによって運転が行なわれる。なお、上述のように、マスタＥＣＵ２００がＤＣＭ２３０を制御対象とし、スレイブＥＣＵ２１０が駆動装置２２０を制御対象とする場合を一例として説明したが、電動車両１００に搭載されるその他のアクチュエータは、マスタＥＣＵ２００およびスレイブＥＣＵ２１０にのうちの少なくともいずれかによって制御されるものとする。
【0042】
以上のような構成を有する電動車両１００において、マスタＥＣＵ２００およびスレイブＥＣＵ２１０の各々の機能は、上述したようにソフトウェアを実行することによって実現される。そして、マスタＥＣＵ２００およびスレイブＥＣＵ２１０の各々に記憶されたソフトウェアは、管理サーバ７から受信する更新情報を用いて更新されることにより、既存の機能を修正したり、新たな機能を追加したりすることができる。これらの更新されたソフトウェアによる機能を適切に実行するために、マスタＥＣＵ２００は、たとえば、ＩＧオン後に、マスタＥＣＵ２００およびスレイブＥＣＵ２１０において実行されるソフトウェアの実行品番の組み合わせが整合しているか否かを確認する整合判定処理（以下、バージョン整合チェック（ＶＭＣ）と記載する場合がある）を実行する。
【0043】
マスタＥＣＵ２００は、たとえば、マスタＥＣＵ２００とスレイブＥＣＵ２１０とにおける実行品番の組み合わせが、予め定められた組み合わせである場合に、実行品番の組み合わせが整合していると判定する。予め定められた組み合わせは、たとえば、更新前後の品番の組み合わせを含む。マスタＥＣＵ２００は、たとえば、実行品番の組み合わせが更新品番の組み合わせと一致する場合に、起動用記憶領域の切替が適切に行なわれたことを確認することができる。
【0044】
【0045】
たとえば、電動車両１００のシステムを起動するための起動操作がユーザにより行なわれると、図３の（Ａ）に示すように、電動車両１００は、ＩＧオン状態になる。ＩＧオン状態になると、マスタＥＣＵ２００およびスレイブＥＣＵ２１０の各々に電源電力が供給されることで、マスタＥＣＵ２００およびスレイブＥＣＵ２１０が起動する。
【0046】
このとき、スレイブＥＣＵ２１０が、たとえば、図３の（Ｂ）に示すように、起動後に実行品番をマスタＥＣＵ２００に送信する場合を想定する。スレイブＥＣＵ２１０は、たとえば、起動後に起動用記憶領域に記憶されるソフトウェアの品番を実行品番としてマスタＥＣＵ２００に送信する。なお、起動用記憶領域に記憶されるソフトウェアの品番と取得方法としては公知の技術を用いればよくその詳細な説明は行なわない。
【0047】
マスタＥＣＵ２００は、図３の（Ｃ）に示すように、ＩＧオン状態となった後、スレイブＥＣＵ２１０からの実行品番の初回受信によりＶＭＣを実行する。これにより、マスタＥＣＵ２００は、マスタＥＣＵ２００において実行中のソフトウェアの第１実行品番と、受信したスレイブＥＣＵ２１０において実行中のソフトウェアの第２実行品番との組み合わせが予め定められた組み合わせであるか否かによって実行品番の組み合わせが整合しているか否かを判定することができる。
【0048】
マスタＥＣＵ２００は、たとえば、予め定められた組み合わせについての構成情報を管理サーバ７から取得していてもよいし、あるいは、管理サーバ７から受信する更新情報を用いて更新前後の品番の組み合わせを構成情報として取得してもよい。
【0049】
しかしながら、マスタＥＣＵ２００からスレイブＥＣＵ２１０に対して次回の起動時に起動用記憶領域の切替の指示が行なわれた後であって、ＩＧオフ状態になるまでの間に、スレイブＥＣＵ２１０に電力を供給する電源の瞬断等の何らかの不具合の発生によって再起動する場合、スレイブＥＣＵ２１０においてのみ起動用記憶領域の切替が行なわれる場合がある。
【0050】
たとえば、図３の（Ｄ）に示すように、スレイブＥＣＵ２１０において何らかの不具合が発生することによってリセットされた場合には、図３の（Ｅ）に示すように、スレイブＥＣＵ２１０が再起動することとなる。このとき、図３の（Ｆ）に示すように実行品番がマスタＥＣＵ２００に送信されても、マスタＥＣＵ２００においてＶＭＣが実行されない。そのため、次にマスタＥＣＵ２００の起動時までマスタＥＣＵ２００の実行品番が更新前の品番となり、スレイブＥＣＵ２１０の実行品番が更新後の品番となるため、マスタＥＣＵ２００とスレイブＥＣＵ２１０とで実行品番の組み合わせが不整合の状態となる期間が生じることとなる。
【0051】
図４は、マスタＥＣＵ２００とスレイブＥＣＵ２１０とで実行品番の組み合わせが不整合の状態になる場合の動作の一例を説明するための図である。図４に示すように、マスタＥＣＵ２００は、制御部２０１Ａと、切替部２０１Ｂとを含む。制御部２０１Ａは、更新用記憶領域に更新されたソフトウェアが記憶された場合に、図４の（Ａ）に示すように、スレイブＥＣＵ２１０とマスタＥＣＵ２００内の切替部２０１Ｂに切替指示を送信する。切替部２０１ＢとスレイブＥＣＵ２１０とは、制御部２０１Ａからの切替指示を受信すると、図４の（Ｂ）および（Ｃ）に示すように、起動用記憶領域の切替処理をそれぞれ実行し、更新用記憶領域を次回の起動時（図４の（Ｇ）に示すＩＧオン時に対応）の起動用記憶領域に設定する。
【0052】
しかしながら、その後に図４の（Ｄ）に示すように、スレイブＥＣＵ２１０において、電源の瞬断が生じると、スレイブＥＣＵ２１０のみ再起動する。その結果、スレイブＥＣＵ２１０は、更新されたソフトウェアを用いて起動することとなるため、図４の（Ｆ）に示すＩＧオフ状態となるタイミングまでの期間においては、マスタＥＣＵ２００の実行品番は、更新前のソフトウェアの品番となり、スレイブＥＣＵ２１０の実行品番は、更新後のソフトウェアの品番となるため、実行品番の組み合わせが不整合の状態となる期間が生じることとなる。
【0053】
そこで、本実施の形態においては、スレイブＥＣＵ２１０が、スレイブＥＣＵ２１０の起動時に、起動用記憶領域に記憶されたソフトウェアの識別情報（すなわち、実行品番）がマスタＥＣＵ２００とスレイブＥＣＵ２１０との間で整合しているか否かを判定するための整合判定処理の実行をマスタＥＣＵ２００に要求するものとする。マスタＥＣＵ２００は、マスタＥＣＵ２００の起動時およびスレイブＥＣＵ２１０から整合判定処理の実行の要求を受けたときの各々において整合判定処理（ＶＭＣ）を実行するものとする。
【0054】
このようにすると、スレイブＥＣＵ２１０の起動時にマスタＥＣＵ２００に対して整合判定処理の実行が要求され、マスタＥＣＵ２００において整合判定処理が実行される。そのため、更新用記憶領域が次回の起動時の起動用記憶領域として設定される場合において、不具合等によりスレイブＥＣＵ２１０のみが再起動した場合でも再起動時に整合判定処理の実行がマスタＥＣＵ２００に要求される。これにより、マスタＥＣＵ２００とスレイブＥＣＵ２１０とにおいて実行品番の組み合わせの不整合を早期に検出することができる。
【0055】
以下、マスタＥＣＵ２００で実行される処理の一例について図５を参照しつつ説明する。図５は、マスタＥＣＵ２００で実行される処理の一例を示すフローチャートである。このフローチャートに示される一連の処理は、マスタＥＣＵ２００により、所定の処理周期毎に繰り返し実行される。
【0056】
ステップ（以下、ステップをＳと記載する）１００にて、マスタＥＣＵ２００は、初期チェックが未実施であるか否かを判定する。マスタＥＣＵ２００は、たとえば、初期チェックが実施済であるか否かを示すフラグの状態に基づいて初期チェックが未実施であるか否かを判定する。マスタＥＣＵ２００は、たとえば、当該フラグがオフ状態である場合に初期チェックが未実施であると判定する。マスタＥＣＵ２００は、たとえば、起動直後に当該フラグをオフ状態に設定してもよいし、あるいは、ＩＧオフ状態になるときに当該フラグをオフ状態に設定してもよい。マスタＥＣＵ２００は、初期チェックが未実施であると判定される場合（Ｓ１００にてＹＥＳ）、処理はＳ１０２に移される。
【0057】
Ｓ１０２にて、マスタＥＣＵ２００は、実行品番を全て取得したか否かを判定する。マスタＥＣＵ２００は、たとえば、第１実行品番と第２実行品番とを取得した場合に実行品番を全て取得したと判定する。マスタＥＣＵ２００は、たとえば、メモリ２０２の起動用記憶領域に記憶されるソフトウェアの品番を第１実行品番として取得する。マスタＥＣＵ２００は、たとえば、スレイブＥＣＵ２１０から第２実行品番を取得する。実行品番を全て取得したと判定される場合（Ｓ１０２にてＹＥＳ）、処理はＳ１０４に移される。
【0058】
Ｓ１０４にて、マスタＥＣＵ２００は、整合判定処理を実行する。マスタＥＣＵ２００は、第１実行品番と第２実行品番との組み合わせが予め定められた組み合わせであるか否かを判定する。マスタＥＣＵ２００は、たとえば、第１実行品番と第２実行品番との組み合わせと、メモリ２０２に記憶される予め定められた組み合わせとを比較して一致するか否かを判定する。予め定められた組み合わせの取得方法については上述したとおりであるため、その詳細な説明は繰り返さない。その後処理はＳ１０８に移される。なお、実行品番を全て取得していないと判定される場合（Ｓ１０２にてＮＯ）、処理はＳ１０６に移される。
【0059】
Ｓ１０６にて、マスタＥＣＵ２００は、実行品番の受信待ち時間が予め定められた時間Ｔ１よりも長いか否かを判定する。受信待ち時間は、たとえば、初期チェックが未実施であると判定された時点からの経過である。予め定められた時間Ｔ１は、たとえば、実験等により適合される。実行品番の受信待ち時間が予め定められた時間Ｔ１よりも長いと判定される場合（Ｓ１０６にてＹＥＳ）、処理はＳ１１６に移される。なお、実行品番の受信待ち時間が予め定められた時間Ｔ１以下であると判定される場合（Ｓ１０６にてＮＯ）、処理はＳ１０２に戻される。
【0060】
Ｓ１０８にて、マスタＥＣＵ２００は、第１実行品番と第２実行品番とが整合するか否かを判定する。マスタＥＣＵ２００は、たとえば、第１実行品番と第２実行品番との組み合わせが更新前のソフトウェアの品番の組み合わせや更新後のソフトウェアの品番の組み合わせ等の予め定められた組み合わせである場合に、第１実行品番と第２実行品番とが整合すると判定する。第１実行品番と第２実行品番とが整合すると判定される場合（Ｓ１０８にてＹＥＳ）、処理はＳ１１０に移される。なお、第１実行品番と第２実行品番とが整合しないと判定される場合（Ｓ１０８にてＮＯ）、処理はＳ１１６に移される。
【0061】
Ｓ１１０にて、マスタＥＣＵ２００は、スレイブＥＣＵ２１０に対して整合判定処理が完了したことを示す情報（以下、完了通知と記載する）を送信する。その後処理はＳ１１２に移される。
【0062】
Ｓ１１２にて、マスタＥＣＵ２００は、初期チェックが実施済であるか否かを示すフラグの状態をオン状態に設定する。その後処理はＳ１１４に移される。
【0063】
Ｓ１１４にて、マスタＥＣＵ２００は、自動運転を許可状態に設定する。自動運転が許可状態に設定される場合には、ＡＤＳ２４０を用いた電動車両１００の自動運転の実施が可能となる。そのため、電動車両１００において、自動運転モードが選択される場合には、ＡＤＳ２４０を用いた自動運転が実施されることとなる。
【0064】
Ｓ１１６にて、マスタＥＣＵ２００は、自動運転を不許可状態に設定する。自動運転が不許可状態に設定される場合には、自動運転モードが選択中であると手動運転モードに切り替えられる。また、手動運転モードの選択中において、自動運転モードを選択する操作が行なわれても自動運転モードの選択が拒否される。
【0065】
次に、マスタＥＣＵ２００で実行される他の処理の一例について図６を参照しつつ説明する。図６は、マスタＥＣＵ２００で実行される他の処理の一例を示すフローチャートである。このフローチャートに示される一連の処理は、マスタＥＣＵ２００により、所定の処理周期毎に繰り返し実行される。
【0066】
Ｓ１５０にて、マスタＥＣＵ２００は、初期チェックが実施済であるか否かを判定する。初期チェックが実施済であるか否かの判定方法については、上述したとおりであるため、その詳細な説明は繰り返さない。初期チェックが実施済であると判定される場合（Ｓ１５０にてＹＥＳ）、処理はＳ１５２に移される。
【0067】
Ｓ１５２にて、マスタＥＣＵ２００は、スレイブＥＣＵ２１０からＶＭＣ要求を受信するか否かを判定する。「ＶＭＣ要求」は、整合判定処理の実行要求を含む。スレイブＥＣＵ２１０からＶＭＣ要求を受信すると判定される場合（Ｓ１５２にてＹＥＳ）、処理はＳ１５４に移される。なお、ＶＭＣ要求を受信しないと判定される場合（Ｓ１５２にてＮＯ）、処理はＳ１５２に戻される。
【0068】
Ｓ１５４にて、マスタＥＣＵ２００は、整合判定処理を実行する。整合判定処理については、上述したとおりであるため、その詳細な説明は繰り返さない。その後処理はＳ１５６に移される。
【0069】
Ｓ１５６にて、マスタＥＣＵ２００は、第１実行品番と第２実行品番とが整合するか否かを判定する。判定方法については、上述したとおりであるため、その詳細な説明は繰り返さない。第１実行品番と第２実行品番とが整合すると判定される場合（Ｓ１５６にてＹＥＳ）、処理はＳ１５８に移される。
【0070】
Ｓ１５８にて、マスタＥＣＵ２００は、スレイブＥＣＵ２１０に対して完了通知を送信する。完了通知については、上述したとおりであるため、その詳細な説明は繰り返さない。
【0071】
Ｓ１６０にて、マスタＥＣＵ２００は、自動運転を許可状態に設定する。自動運転の許可状態における電動車両１００の動作については上述したとおりであるため、その詳細な説明は繰り返さない。その後処理はＳ１５２に戻される。なお、第１実行品番と第２実行品番とが整合しないと判定される場合（Ｓ１５６にてＮＯ）、処理はＳ１６２に移される。
【0072】
Ｓ１６２にて、マスタＥＣＵ２００は、自動運転を不許可状態に設定する。自動運転の不許可状態における電動車両１００の動作については上述したとおりであるため、その詳細な説明は繰り返さない。その後処理は終了される。なお、初期チェックが実施済でないと判定される場合（Ｓ１５０にてＮＯ）、この処理は終了される。
【0073】
次に、スレイブＥＣＵ２１０で実行される処理の一例について図７を参照しつつ説明する。図７は、スレイブＥＣＵ２１０で実行される処理の一例を示すフローチャートである。このフローチャートに示される一連の処理は、スレイブＥＣＵ２１０により、所定の処理周期毎に繰り返し実行される。
【0074】
Ｓ２００にて、スレイブＥＣＵ２１０は、起動時であるか否かを判定する。スレイブＥＣＵ２１０は、たとえば、スレイブＥＣＵ２１０を起動するための起動処理が実行中である場合にスレイブＥＣＵ２１０の起動時であると判定する。スレイブＥＣＵ２１０の起動時であると判定される場合（Ｓ２００にてＹＥＳ）、処理はＳ２０２に移される。
【0075】
Ｓ２０２にて、スレイブＥＣＵ２１０は、マスタＥＣＵ２００に対して第２実行品番を送信する。第２実行品番については、上述したとおりであるため、その詳細な説明は繰り返さない。その後処理はＳ２０４に移される。
【0076】
Ｓ２０４にて、スレイブＥＣＵ２１０は、ＶＭＣ要求を送信する。ＶＭＣ要求については、上述したとおりであるため、その詳細な説明は繰り返さない。スレイブＥＣＵ２１０は予め定められた時間が経過する毎に断続的にＶＭＣ要求を送信してもよいし、あるいは、継続してＶＭＣ要求を送信してもよい。
【0077】
Ｓ２０６にて、スレイブＥＣＵ２１０は、マスタＥＣＵ２００から完了通知を受信したか否かを判定する。完了通知については上述したとおりであるため、その詳細な説明は繰り返さない。完了通知を受信したと判定される場合（Ｓ２０６にてＹＥＳ）、処理はＳ２０８に移される。
【0078】
Ｓ２０８にて、スレイブＥＣＵ２１０は、ＶＭＣ要求の送信を停止する。なお、マスタＥＣＵ２００から完了通知を受信しない場合には（Ｓ２０６にてＮＯ）、処理はＳ２１０に移される。
【0079】
Ｓ２１０にて、スレイブＥＣＵ２１０は、完了通知の受信待ち時間が予め定められた時間Ｔ２よりも長いか否かを判定する。完了通知の受信待ち時間は、たとえば、ＶＭＣ要求が送信された時点からの経過時間である。予め定められた時間Ｔ２は、たとえば、実験等により適合される。完了通知の受信待ち時間が予め定められた時間Ｔ２よりも長いと判定される場合（Ｓ２１０にてＹＥＳ）、処理はＳ２０８に移される。なお、完了通知の受信待ち時間が予め定められた時間Ｔ２以下であると判定される場合（Ｓ２１０にてＮＯ）、処理はＳ２０６に戻される。また、スレイブＥＣＵ２１０の起動時でないと判定される場合（Ｓ２００にてＮＯ）、この処理は終了される。
【0080】
以上のような構造およびフローチャートに基づくマスタＥＣＵ２００とスレイブＥＣＵ２１０との動作の一例について図８を参照しつつ説明する。
【0081】
【0082】
たとえば、電動車両１００のシステムを起動するための起動操作がユーザにより行なわれると、図８（Ａ）に示すように、電動車両１００は、ＩＧオン状態になる。ＩＧオン状態になると、マスタＥＣＵ２００およびスレイブＥＣＵ２１０の各々に電源電力が供給されることで、マスタＥＣＵ２００およびスレイブＥＣＵ２１０が起動する。
【0083】
スレイブＥＣＵ２１０が起動時であると判定されると（Ｓ２００にてＹＥＳ）、図８の（Ｂ－１）に示すように第２実行品番がマスタＥＣＵ２００に送信されるとともに（Ｓ２０２）、図８の（Ｂ－２）に示すように、ＶＭＣ要求がマスタＥＣＵ２００に送信される（Ｓ２０４）。
【0084】
マスタＥＣＵ２００においては、初期チェックが未実施であると判定される場合（Ｓ１００にてＹＥＳ）、実行品番を全て受信したか否かが判定される（Ｓ１０２）。第１実行品番が取得されるとともにスレイブＥＣＵ２１０から第２実行品番を受信した場合に実行品番を全て受信したと判定され（Ｓ１０２にてＹＥＳ）、図８の（Ｃ－１）に示すように、ＶＭＣが実行される（Ｓ１０４）。ＶＭＣが実行され、第１実行品番と第２実行品番とが整合すると判定される場合には（Ｓ１０８にてＹＥＳ）、図８の（Ｃ－２）に示すように、完了通知がスレイブＥＣＵ２１０に送信される（Ｓ１１０）。その後に初期チェックが実施済であるか否かを示すフラグがオン状態に設定され（Ｓ１１２）、自動運転が許可されることとなる（Ｓ１１４）。スレイブＥＣＵ２１０において完了通知を受信すると（Ｓ２０６にてＹＥＳ）、ＶＭＣ要求の送信が停止される（Ｓ２０８）。
【0085】
たとえば、図８の（Ｄ）に示すように、スレイブＥＣＵ２１０において何らかの不具合によってリセットされる場合を想定する。これにより、図８の（Ｅ）に示すように、スレイブＥＣＵ２１０が再起動した場合には、起動時であると判定されるときに（Ｓ２００にてＹＥＳ）、図８の（Ｆ－１）に示すように第２実行品番がマスタＥＣＵ２００に送信される（Ｓ２０２）。そして、図８の（Ｆ－２）に示すように、ＶＭＣ要求がマスタＥＣＵ２００に送信される（Ｓ２０４）。
【0086】
マスタＥＣＵ２００において、初期チェックが実施済であると判定される場合においては（Ｓ１５０にてＹＥＳ）、スレイブＥＣＵ２１０からＶＭＣ要求を受信すると（Ｓ１５２にてＹＥＳ）、図８の（Ｇ－１）に示すようにＶＭＣが実行される（Ｓ１５４）。ＶＭＣが実行され、第１実行品番と第２実行品番とが整合すると判定される場合には（Ｓ１５６にてＹＥＳ）、図８の（Ｇ－２）に示すように、完了通知がスレイブＥＣＵ２１０に送信される（Ｓ１５８）。その後に自動運転が許可されることとなる（Ｓ１６０）。スレイブＥＣＵ２１０において完了通知を受信すると（Ｓ２０６にてＹＥＳ）、ＶＭＣ要求の送信が停止される（Ｓ２０８）。
【0087】
このように、スレイブＥＣＵ２１０においては、起動する毎に第２実行品番とＶＭＣ要求とが送信される。また、マスタＥＣＵ２００においては、初期チェックが未実施である場合には、スレイブＥＣＵ２１０から第２実行品番を受信することによってＶＭＣが実行される。さらに、マスタＥＣＵ２００においては、初期チェックが実施済である場合には、スレイブＥＣＵ２１０からＶＭＣ要求を受信することによってＶＭＣが実行される。
【0088】
そのため、たとえば、マスタＥＣＵ２００とスレイブＥＣＵ２１０の更新用記憶領域に更新されたソフトウェアが記憶され、更新用記憶領域が次回の起動時の起動用記憶領域として設定されている場合において、ＩＧオフ状態になる前に、スレイブＥＣＵ２１０において何らかの不具合が発生することによって再起動し、スレイブＥＣＵ２１０が更新後のソフトウェアを用いて起動される場合でも、スレイブＥＣＵ２１０からマスタＥＣＵ２００へのＶＭＣ要求によって、速やかにＶＭＣが実行される。ＶＭＣの実行によって第１実行品番と第２実行品番とが整合しないと判定される場合（Ｓ１５６にてＮＯ）、自動運転が不許可状態になるなどして（Ｓ１６２）、スレイブＥＣＵ２１０のみにおいて更新されたソフトウェアを用いた機能の実行が抑制される。
【0089】
以上のように、本実施の形態に係る車載システムによると、スレイブＥＣＵ２１０の起動毎にマスタＥＣＵ２００に対してＶＭＣの実行が要求され、マスタＥＣＵ２００においてＶＭＣが実行される。そのため、更新用記憶領域が次回の起動時の起動用記憶領域として設定される場合において、不具合等によりスレイブＥＣＵ２１０のみが再起動した場合でも再起動時にＶＭＣ要求がマスタＥＣＵ２００に送信される。これにより、マスタＥＣＵ２００およびスレイブＥＣＵ２１０において実行品番の組み合わせの不整合を早期に検出することができる。したがって、複数の制御装置においてソフトウェアの識別情報の組み合わせの不整合を早期に検出する車載システムおよび制御装置を提供することができる。
【0090】
さらに、ＶＭＣの実行によって第１実行品番と第２実行品番とが整合していないと判定される場合には、起動用記憶領域に記憶されたソフトウェアにより実現される機能（たとえば、ＡＤＳ２４０を用いた自動運転）の実行が不許可状態（禁止状態）になる。このようにすると、第１実行品番と第２実行品番とが整合していない状態で自動運転等の機能が実行されることを抑制することができる。
【0091】
以下、変形例について記載する。
【0092】
上述の実施の形態では、電動車両１００に搭載される複数のＥＣＵがマスタＥＣＵ２００とスレイブＥＣＵ２１０とを含む構成を一例として説明したが、複数のＥＣＵは、マスタＥＣＵ２００と複数のスレイブＥＣＵとを含む構成であってもよい。この変形例では、たとえば、電動車両１００に搭載される複数のＥＣＵが、マスタＥＣＵ２００と第１スレイブＥＣＵ２１０Ａと第２スレイブＥＣＵ２１０Ｂとを含む構成を一例として説明する。
【0093】
図９は、変形例における電動車両１００の構成の一例を概略的に示す図である。図９に示す電動車両１００は、図２に示す電動車両１００の構成と比較して、スレイブＥＣＵ２１０に代えて第１スレイブＥＣＵ２１０Ａを含む点と、第２スレイブＥＣＵ２１０Ｂをさらに含む点で異なる。それ以外の構成については同様の構成であり同じ参照符号が付してある。そのため、その詳細な説明は繰り返さない。
【0094】
第１スレイブＥＣＵ２１０Ａは、たとえば、図２のスレイブＥＣＵ２１０と同様の構成を有しており、また、第２スレイブＥＣＵ２１０Ｂは、第１スレイブＥＣＵ２１０Ａと比較してセンサ類の検出対象、制御対象（たとえば、ステアリングシステムやブレーキシステムなど）および制御動作が異なる。それ以外の構成については、スレイブＥＣＵ２１０と同様の構成を有しているものとする。そのため、第１スレイブＥＣＵ２１０Ａおよび第２スレイブＥＣＵ２１０Ｂの各々についての詳細な説明は繰り返さない。
【0095】
スレイブＥＣＵを複数含む構成であっても、スレイブＥＣＵが単数である場合と同様の問題が生じる場合がある。
【0096】
図１０は、変形例におけるマスタＥＣＵ２００と複数のスレイブＥＣＵとで行なわれる動作の一例を説明するための図である。図１０には、マスタＥＣＵ２００と第１スレイブＥＣＵ２１０Ａと第２スレイブＥＣＵ２１０Ｂとの動作履歴が示される。
【0097】
たとえば、電動車両１００のシステムを起動するための起動操作がユーザにより行なわれると、図１０の（Ａ）に示すように、電動車両１００は、ＩＧオン状態になる。ＩＧオン状態になると、マスタＥＣＵ２００、第１スレイブＥＣＵ２１０Ａおよび第２スレイブＥＣＵ２１０Ｂの各々に電源電力が供給されることで、マスタＥＣＵ２００および第１スレイブＥＣＵ２１０Ａおよび第２スレイブＥＣＵ２１０Ｂが起動する。
【0098】
このとき、第１スレイブＥＣＵ２１０Ａが、たとえば、図１０の（Ｂ）に示すように、起動後に第１スレイブＥＣＵ２１０Ａのメモリの起動用記憶領域に記憶されるソフトウェアの品番を実行品番としてマスタＥＣＵ２００に送信する場合を想定する。
【0099】
さらに、第２スレイブＥＣＵ２１０Ｂが、第１スレイブＥＣＵ２１０Ａと同様に、たとえば、図１０の（Ｃ）に示すように、起動後に第２スレイブＥＣＵ２１０Ｂのメモリの起動用記憶領域に記憶されるソフトウェアの品番を実行品番としてマスタＥＣＵ２００に送信する場合を想定する。
【0100】
マスタＥＣＵ２００は、図１０の（Ｄ）に示すように、ＩＧオン状態となった後、第１スレイブＥＣＵ２１０Ａおよび第２スレイブＥＣＵ２１０Ｂの各々からの実行品番の受信によりＶＭＣを実行する。これにより、マスタＥＣＵ２００は、マスタＥＣＵ２００において実行中のソフトウェアの第１実行品番と、受信した第１スレイブＥＣＵ２１０Ａにおいて実行中のソフトウェアの第２実行品番と、受信した第２スレイブ各ＥＣＵにおいて実行中のソフトウェアの第３実行品番との組み合わせが予め定められた組み合わせであるか否かによって実行品番の組み合わせが整合しているか否かを判定することができる。実行品番の予め定められた組み合わせについては、上述の実施の形態における２つの実行品番の予め定められた組み合わせと同様に取得される。そのため、その詳細な説明は繰り返さない。
【0101】
しかしながら、この場合も上述の実施の形態と同様に、マスタＥＣＵ２００から第１スレイブＥＣＵ２１０Ａおよび第２スレイブＥＣＵ２１０Ｂの各々に対して次回の起動時に起動用記憶領域の切替の指示が行なわれた後であって、ＩＧオフ状態になるまでの間に、第１スレイブＥＣＵ２１０Ａおよび第２スレイブＥＣＵ２１０ＢのうちのいずれかのスレイブＥＣＵにおいて電源の瞬断等の何らかの不具合の発生によって再起動する場合、当該スレイブＥＣＵにおいてのみ起動用記憶領域の切替が行なわれる場合がある。
【0102】
たとえば、図１０の（Ｅ）に示すように、第１スレイブＥＣＵ２１０Ａにおいて何らかの不具合が発生することによってリセットされた場合には、第１スレイブＥＣＵ２１０Ａが再起動することとなる。このとき、図１０の（Ｆ）に示すように実行品番がマスタＥＣＵ２００に送信されても、マスタＥＣＵ２００においてＶＭＣが実行されない。そのため、次にマスタＥＣＵ２００および第２スレイブＥＣＵ２１０Ｂの起動時までマスタＥＣＵ２００および第２ＥＣＵ２１０Ｂの実行品番が更新前の品番となり、第１スレイブＥＣＵ２１０Ａの実行品番が更新後の品番となるため、マスタＥＣＵ２００と第１スレイブＥＣＵ２１０Ａと第２スレイブＥＣＵ２１０Ｂとで実行品番の組み合わせが不整合の状態となる期間が生じることとなる。これは、第２スレイブＥＣＵ２１０Ｂにおいて何らかの不具合が発生する場合も同様に、実行品番の組み合わせが不整合の状態となる期間が生じ得る。
【0103】
そこで、本変形例においては、第１スレイブＥＣＵ２１０Ａおよび第２スレイブＥＣＵ２１０Ｂが、それぞれの起動時に、起動用記憶領域に記憶されたソフトウェアの識別情報（すなわち、実行品番）がマスタＥＣＵ２００と第１スレイブＥＣＵ２１０Ａと第２スレイブＥＣＵ２１０Ｂとの間で整合しているか否かを判定するための整合判定処理の実行をマスタＥＣＵ２００に要求するものとする。マスタＥＣＵ２００は、マスタＥＣＵ２００の起動時および第１スレイブＥＣＵ２１０Ａまたは第２スレイブＥＣＵ２１０Ｂから整合判定処理の実行の要求を受けたときの各々において整合判定処理（ＶＭＣ）を実行するものとする。
【0104】
このようにすると、第１スレイブＥＣＵ２１０Ａまたは第２スレイブＥＣＵ２１０Ｂの起動時にマスタＥＣＵ２００に対して整合判定処理の実行が要求され、マスタＥＣＵ２００において整合判定処理が実行される。そのため、更新用記憶領域が次回の起動時の起動用記憶領域として設定される場合において、不具合等により第１スレイブＥＣＵ２１０Ａまたは第２スレイブＥＣＵ２１０Ｂが再起動した場合でも再起動時に整合判定処理の実行がマスタＥＣＵ２００に要求される。これにより、マスタＥＣＵ２００と第１スレイブＥＣＵ２１０Ａと第２スレイブＥＣＵ２１０Ｂとにおいて実行品番の組み合わせの不整合を早期に検出することができる。
【0105】
以下、変形例においてマスタＥＣＵ２００で実行される処理の一例について図１１を参照しつつ説明する。図１１は、変形例においてマスタＥＣＵ２００で実行される処理の一例を示すフローチャートである。このフローチャートに示される一連の処理は、マスタＥＣＵ２００により、所定の処理周期毎に繰り返し実行される。
【0106】
図１１のフローチャートは、図５のフローチャートと比較して、Ｓ１０２、Ｓ１０４、Ｓ１０６、Ｓ１０８およびＳ１１０の処理に代えてＳ３００、Ｓ３０２、Ｓ３０４、Ｓ３０６およびＳ３０８の処理を実行する点で異なる。図１１のフローチャートにおいて、図５のフローチャートと同じ処理について同じステップ番号が付与されており、処理内容についても以下に説明する場合を除き、同様である。そのため、その詳細な説明は繰り返さない。
【0107】
マスタＥＣＵ２００において初期チェックが未実施であると判定される場合（Ｓ１００にてＹＥＳ）、処理はＳ３００に移される。
【0108】
Ｓ３００にて、マスタＥＣＵ２００は、実行品番を全て取得したか否かを判定する。マスタＥＣＵ２００は、たとえば、第１実行品番と第２実行品番と第３実行品番とを取得した場合に実行品番を全て取得したと判定する。マスタＥＣＵ２００は、たとえば、メモリ２１２の起動用記憶領域に記憶されるソフトウェアの品番を第１実行品番として取得する。マスタＥＣＵ２００は、たとえば、第１スレイブＥＣＵ２１０Ａから第２実行品番を取得する。さらに、マスタＥＣＵ２００は、たとえば、第２スレイブＥＣＵ２１０Ｂから第３実行品番を取得する。実行品番を全て受信したと判定される場合（Ｓ３００にてＹＥＳ）、処理はＳ３０２に移される。
【0109】
Ｓ３０２にて、マスタＥＣＵ２００は、整合判定処理を実行する。マスタＥＣＵ２００は、第１実行品番と第２実行品番と第３実行品番との組み合わせが予め定められた組み合わせであるか否かを判定する。その後処理はＳ３０８に移される。なお、実行品番を全て取得していないと判定される場合（Ｓ３００にてＮＯ）、処理はＳ３０４に移される。
【0110】
Ｓ３０４にて、マスタＥＣＵ２００は、実行品番の受信待ち時間が予め定められた時間Ｔ１よりも長いか否かを判定する。受信待ち時間および予め定められた時間Ｔ１については、上述したとおりであるため、その詳細な説明は繰り返さない。実行品番の受信待ち時間が予め定められた時間Ｔ１よりも長いと判定される場合（Ｓ３０４にてＹＥＳ）、処理はＳ１１６に移される。なお、実行品番の受信待ち時間が予め定められた時間Ｔ１以下であると判定される場合（Ｓ３０４にてＮＯ）、処理はＳ３００に戻される。
【0111】
Ｓ３０６にて、マスタＥＣＵ２００は、第１実行品番と第２実行品番と第３実行品番とが整合するか否かを判定する。マスタＥＣＵ２００は、たとえば、第１実行品番と第２実行品番と第３実行品番との組み合わせが更新前のソフトウェアの品番の組み合わせや更新後のソフトウェアの品番の組み合わせ等の予め定められた組み合わせである場合に、第１実行品番と第２実行品番と第３事項品番とが整合すると判定する。第１実行品番と第２実行品番と第３実行品番とが整合すると判定される場合（Ｓ３０６にてＹＥＳ）、処理はＳ３０８に移される。なお、第１実行品番と第２実行品番と第３実行品番とが整合しないと判定される場合（Ｓ３０６にてＮＯ）、処理はＳ１１６に移される。
【0112】
Ｓ３０８にて、マスタＥＣＵ２００は、マスタ起動時の整合判定処理の完了通知（以下、マスタ起動時の完了通知と記載する）を送信する。マスタＥＣＵ２００は、第１スレイブＥＣＵ２１０Ａおよび第２スレイブＥＣＵ２１０Ｂの各々に対してマスタ起動時の完了通知を送信する。その後処理はＳ１１２に移される。
【0113】
次に、変形例においてマスタＥＣＵ２００で実行される他の処理の一例について図１２を参照しつつ説明する。図１２は、変形例においてマスタＥＣＵ２００で実行される他の処理の一例を示すフローチャートである。このフローチャートに示される一連の処理は、マスタＥＣＵ２００により、所定の処理周期毎に繰り返し実行される。
【0114】
図１２のフローチャートは、図６のフローチャートと比較して、Ｓ１５２、Ｓ１５４、Ｓ１５６、Ｓ１５８の処理に代えてＳ４００、Ｓ４０２、Ｓ４０４、Ｓ４０６、Ｓ４０８、Ｓ４１０、Ｓ４１２、Ｓ４１４およびＳ４１６の処理を実行する点で異なる。図１２のフローチャートにおいて、図６のフローチャートと同じ処理について同じステップ番号が付与されており、処理内容についても以下に説明する場合を除き、同様である。そのため、その詳細な説明は繰り返さない。
【0115】
マスタＥＣＵ２００において初期チェックが実施済みであると判定される場合（Ｓ１５０にてＹＥＳ）、処理はＳ４００に移される。
【0116】
Ｓ４００にて、マスタＥＣＵ２００は、ＶＭＣ状態確認（ｎ）（ｎは、１または２）を受信するか否かを判定する。マスタＥＣＵ２００は、たとえば、第１スレイブＥＣＵ２１０ＡからＶＭＣ状態確認（１）を受信する場合、あるいは、第２スレイブＥＣＵ２１０ＢからＶＭＣ状態確認（２）を受信する場合に、ＶＭＣ状態確認（ｎ）を受信したと判定する。ＶＭＣ状態確認（１）およびＶＭＣ状態確認（２）の詳細については後述する。ＶＭＣ状態確認（ｎ）を受信したと判定される場合（Ｓ４００にてＹＥＳ）、処理はＳ４０２に移される。なお、ＶＭＣ状態確認（ｎ）を受信しないと判定される場合（Ｓ４００にてＮＯ）、処理はＳ４００に戻される。
【0117】
Ｓ４０２にて、マスタＥＣＵ２００は、ＶＭＣ状態確認（ｍ）（ｍは、ｎ以外の１または２）を受信するか否かを判定する。マスタＥＣＵ２００は、Ｓ４００にてＶＭＣ状態確認（１）を受信した場合には、ＶＭＣ状態確認（２）を受信するか否かを判定する。あるいは、マスタＥＣＵ２００は、Ｓ４００にてＶＭＣ状態確認（２）を受信した場合には、ＶＭＣ状態確認（１）を受信するか否かを判定する。ＶＭＣ状態確認（ｍ）を受信したと判定される場合（Ｓ４０２にてＹＥＳ）、処理はＳ４０４に移される。なお、ＶＭＣ状態確認（ｍ）を受信しないと判定される場合（Ｓ４０２にてＮＯ）、処理はＳ４０６に移される。
【0118】
Ｓ４０４にて、マスタＥＣＵ２００は、ＶＭＣの実行が可能であることを示す通知であるＶＭＣ可能（ｍ）の送信を不許可とする。マスタＥＣＵ２００は、たとえば、Ｓ４００にてＶＭＣ状態確認（１）を受信した場合には、第２スレイブＥＣＵ２１０Ｂに対するＶＭＣ可能（２）の送信を不許可とする。また、マスタＥＣＵ２００は、たとえば、Ｓ４００にてＶＭＣ状態確認（２）を受信した場合には、第１スレイブＥＣＵ２１０Ａに対するＶＭＣ可能（１）の送信を不許可とする。その後処理はＳ４０６に移される。
【0119】
Ｓ４０６にて、マスタＥＣＵ２００は、ＶＭＣ可能（ｎ）を送信する。マスタＥＣＵ２００は、たとえば、Ｓ４００にてＶＭＣ状態確認（１）を受信した場合には、第１スレイブＥＣＵ２１０Ａに対してＶＭＣ可能（１）を送信する。ＶＭＣ可能（１）は、第１スレイブＥＣＵ２１０Ａの要求によるＶＭＣが実行可能であることを示す情報を含む。また、マスタＥＣＵ２００は、たとえば、Ｓ４００にてＶＭＣ状態確認（２）を受信した場合には、第２スレイブＥＣＵ２１０Ｂに対してＶＭＣ可能（２）を送信する。ＶＭＣ可能（２）は、第２スレイブＥＣＵ２１０Ｂの要求によるＶＭＣが実行可能であることを示す情報を含む。その後処理はＳ４０８に移される。
【0120】
Ｓ４０８にて、マスタＥＣＵ２００は、ＶＭＣ要求（ｎ）を受信するか否かを判定する。マスタＥＣＵ２００は、たとえば、Ｓ４００にてＶＭＣ状態確認（１）を受信した場合には、第１スレイブＥＣＵ２１０ＡからのＶＭＣ要求（１）を受信するときにＶＭＣ要求（ｎ）を受信したと判定する。ＶＭＣ要求（１）は、送信元を第１スレイブＥＣＵ２１０Ａとした、マスタＥＣＵ２００に対するＶＭＣの実行要求を含む。また、マスタＥＣＵ２００は、たとえば、Ｓ４００にてＶＭＣ状態確認（２）を受信した場合には、第２スレイブＥＣＵ２１０ＢからのＶＭＣ要求（２）を受信するときにＶＭＣ要求（ｎ）を受信したと判定する。ＶＭＣ要求（２）は、送信元を第２スレイブＥＣＵ２１０Ｂとした、マスタＥＣＵ２００に対するＶＭＣの実行要求を含む。ＶＭＣ要求（ｎ）を受信したと判定される場合（Ｓ４０８にてＹＥＳ）、処理はＳ４１０に移される。
【0121】
Ｓ４１０にて、マスタＥＣＵ２００は、整合判定処理を実行する。整合判定処理については、Ｓ３０２の処理と同様であるため、その詳細な説明は繰り返さない。その後処理はＳ４１４に移される。なお、ＶＭＣ要求（ｎ）を受信していないと判定される場合（Ｓ４０８にてＮＯ）、処理はＳ４１２に移される。
【0122】
Ｓ４１２にて、マスタＥＣＵ２００は、ＶＭＣ要求（ｍ）を受信したか否かを判定する。マスタＥＣＵ２００は、たとえば、Ｓ４００にてＶＭＣ状態確認（１）を受信した場合には、ＶＭＣ要求（２）を受信したときにＶＭＣ要求（ｍ）を受信したと判定する。マスタＥＣＵ２００は、たとえば、Ｓ４００にてＶＭＣ状態確認（２）を受信した場合には、ＶＭＣ要求（１）を受信したときにＶＭＣ要求（ｍ）を受信したと判定する。ＶＭＣ要求（ｍ）を受信したと判定される場合（Ｓ４１２にてＹＥＳ）、処理はＳ４０８に戻される。なお、ＶＭＣ要求（ｍ）を受信していないと判定される場合（Ｓ４１２にてＮＯ）、処理はＳ４０８に戻される。
【0123】
Ｓ４１４にて、マスタＥＣＵ２００は、第１実行品番と第２実行品番と第３実行品番とが整合しているか否かを判定する。判定方法については、上述したとおりであるため、その詳細な説明は繰り返さない。第１実行品番と第２実行品番と第３実行品番とが整合していると判定される場合（Ｓ４１４にてＹＥＳ）、処理はＳ４１６に移される。なお、第１実行品番と第２実行品番と第３実行品番とが整合していないと判定される場合（Ｓ４１４にてＮＯ）、処理はＳ１６２に移される。
【0124】
Ｓ４１６にて、マスタＥＣＵ２００は、完了通知を送信する。マスタＥＣＵ２００は、第１スレイブＥＣＵ２１０Ａおよび第２スレイブＥＣＵ２１０Ｂの各々に完了通知を送信する。その後処理はＳ４１８に移される。
【0125】
Ｓ４１８にて、マスタＥＣＵ２００は、ＶＭＣ可能（ｍ）の送信を許可する。マスタＥＣＵ２００は、たとえば、Ｓ４０４にて送信を不許可としてＶＭＣ可能（ｍ）の送信を許可する。その後処理はＳ１６０に移される。
【0126】
次に、第１スレイブＥＣＵ２１０Ａおよび第２スレイブＥＣＵ２１０Ｂの各々で実行される処理の一例について図１３を参照しつつ説明する。図１３は、変形例において第１スレイブＥＣＵ２１０Ａおよび第２スレイブＥＣＵ２１０Ｂの各々で実行される他の処理の一例を示すフローチャートである。なお、図１３に示すフローチャートに示す「ｎ」は、実行主体を示す値である。たとえば、ｎ＝１の場合は、図１３のフローチャートは、第１スレイブＥＣＵ２１０Ａを実行主体とする処理を示す。また、ｎ＝２の場合は、図１３のフローチャートは、第２スレイブＥＣＵ２１０Ｂを実行主体とする処理を示す。以下の説明においては、図１３のフローチャートに示す処理の実行主体が第１スレイブＥＣＵ２１０Ａである場合を一例として説明する。第２スレイブＥＣＵ２１０Ｂを実行主体とする場合も同様であるため、その詳細な説明は繰り返さない。
【0127】
Ｓ５００にて、第１スレイブＥＣＵ２１０Ａは、起動時であるか否かを判定する。判定方法は、上述のＳ２００の処理における判定方法と同様であるため、その詳細な説明は繰り返さない。起動時であると判定される場合（Ｓ５００にてＹＥＳ）、処理はＳ５０２に移される。なお、起動時でないと判定される場合（Ｓ５００にてＮＯ）、この処理は終了される。
【0128】
Ｓ５０２にて、第１スレイブＥＣＵ２１０Ａは、第２実行品番を実行品番（ｎ）としてマスタＥＣＵ２００に送信する。その後処理はＳ５０４に移される。
【0129】
Ｓ５０４にて、第１スレイブＥＣＵ２１０Ａは、ＶＭＣ状態確認（１）をＶＭＣ状態確認（ｎ）としてマスタＥＣＵ２００に送信する。その後処理はＳ５０６に移される。
【0130】
Ｓ５０６にて、第１スレイブＥＣＵ２１０Ａは、マスタ起動時の完了通知を受信したか否かを判定する。マスタ起動時の完了通知を受信したと判定される場合（Ｓ５０６にてＹＥＳ）、処理はＳ５０８に移される。
【0131】
Ｓ５０８にて、第１スレイブＥＣＵ２１０Ａは、ＶＭＣ状態確認（１）およびＶＭＣ要求（１）の送信を停止する。第１スレイブＥＣＵ２１０Ａは、たととえば、ＶＭＣ状態確認（１）が送信中である場合には、ＶＭＣ状態確認（１）の送信を停止する。また、第１スレイブＥＣＵ２１０Ａは、たとえば、ＶＭＣ状態確認（１）およびＶＭＣ要求（１）が送信中である場合には、ＶＭＣ状態確認（１）およびＶＭＣ要求（１）の送信を停止する。なお、マスタ起動時の完了通知を受信していないと判定される場合（Ｓ５０６にてＮＯ）、処理はＳ５１０に移される。
【0132】
Ｓ５１０にて、第１スレイブＥＣＵ２１０Ａは、マスタＥＣＵ２００からのＶＭＣ可能（ｎ）を受信するか否かを判定する。第１スレイブＥＣＵ２１０Ａは、マスタＥＣＵ２００からＶＭＣ可能（１）を受信すると、ＶＭＣ可能（ｎ）を受信したと判定する。ＶＭＣ可能（ｎ）を受信したと判定される場合（Ｓ５１０にてＹＥＳ）、処理はＳ５１２に移される。なお、ＶＭＣ可能（１）を受信していないと判定される場合（Ｓ５１０にてＮＯ）、処理はＳ５０６に戻される。
【0133】
Ｓ５１２にて、第１スレイブＥＣＵ２１０Ａは、ＶＭＣ要求（ｎ）をマスタＥＣＵ２００に送信する。第１スレイブＥＣＵ２１０Ａは、ＶＭＣ要求（１）をＶＭＣ要求（ｎ）としてマスタＥＣＵ２００に送信する。その後処理は、Ｓ５１４に移される。
【0134】
Ｓ５１４にて、第１スレイブＥＣＵ２１０Ａは、マスタＥＣＵ２００から完了通知を受信したか否かを判定する。完了通知を受信したと判定される場合（Ｓ５１４にてＹＥＳ）、処理はＳ５０８に移される。なお、完了通知を受信していないと判定される場合（Ｓ５１４にてＮＯ）、処理はＳ５１６に移される。
【0135】
Ｓ５１６にて、第１スレイブＥＣＵ２１０Ａは、完了通知の受信待ち時間が予め定められた時間Ｔ２よりも長いか否かを判定する。完了通知の受信待ち時間および予め定められた時間Ｔ２については、上述したとおりであるため、その詳細な説明は繰り返さない。完了通知の受信待ち時間が予め定められた時間Ｔ２よりも長いと判定される場合（Ｓ５１６にてＹＥＳ）、処理はＳ５０８に移される。なお、完了通知の受信待ち時間が予め定められた時間Ｔ２以下であると判定される場合（Ｓ５１６にてＮＯ）、処理はＳ５１４に戻される。
【0136】
以上のようなフローチャートに基づく本変形例におけるマスタＥＣＵ２００と第１スレイブＥＣＵ２１０Ａと第２スレイブＥＣＵ２１０Ｂとの動作の一例について図１４を参照しつつ説明する。
【0137】
図１４は、変形例におけるマスタＥＣＵ２００の動作の一例と各スレイブＥＣＵの動作の一例とを説明するための図である。図１４には、マスタＥＣＵ２００と第１スレイブＥＣＵ２１０Ａと第２スレイブＥＣＵ２１０Ｂとの動作履歴が示される。
【0138】
たとえば、電動車両１００のシステムを起動するための起動操作がユーザにより行なわれると、図１４の（Ａ）に示すように、電動車両１００は、ＩＧオン状態になる。ＩＧオン状態になると、マスタＥＣＵ２００、第１スレイブＥＣＵ２１０Ａおよび第２スレイブＥＣＵ２１０Ｂの各々に電源電力が供給されることで、マスタＥＣＵ２００、第１スレイブＥＣＵ２１０Ａおよび第２スレイブＥＣＵ２１０Ｂが起動する。
【0139】
第１スレイブＥＣＵ２１０Ａが起動時であると判定されると（Ｓ５００にてＹＥＳ）、図１４の（Ｂ－１）に示すように、第２実行品番がマスタＥＣＵ２００に送信されるとともに（Ｓ５０２）、図１４の（Ｂ－２）に示すように、ＶＭＣ状態確認（１）がマスタＥＣＵ２００に送信される（Ｓ５０４）。
【0140】
同様に、第２スレイブＥＣＵ２１０Ｂが起動時であると判定されると（Ｓ５００にてＹＥＳ）、図１４の（Ｃ－１）に示すように、第３実行品番がマスタＥＣＵ２００に送信されるとともに（Ｓ５０２）、図１４の（Ｃ－２）に示すように、ＶＭＣ状態確認（２）がマスタＥＣＵ２００に送信される（Ｓ５０４）。
【0141】
マスタＥＣＵ２００においては、初期チェックが未実施であると判定される場合（Ｓ１００にてＹＥＳ）、実行品番を全て受信したか否かが判定される（Ｓ３００）。第１実行品番が取得されるとともに第１スレイブＥＣＵ２１０Ａから第２実行品番を受信し、第２スレイブＥＣＵ２１０Ｂから第３実行品番を受信した場合に実行品番を全て受信したと判定され（Ｓ３００にてＹＥＳ）、図１４の（Ｄ－１）に示すように、ＶＭＣが実行される（Ｓ３０２）。ＶＭＣが実行され、第１実行品番と第２実行品番と第３実行品番とが整合すると判定される場合には（Ｓ３０６にてＹＥＳ）、マスタ起動時の完了通知が第１スレイブＥＣＵ２１０Ａおよび第２スレイブＥＣＵ２１０Ｂの各々に送信される（Ｓ３０８）。その後に初期チェックが実施済であるか否かを示すフラグがオン状態に設定され（Ｓ１１２）、自動運転が許可されることとなる（Ｓ１１４）。
【0142】
第１スレイブＥＣＵ２１０Ａにおいて、マスタ起動時の完了通知を受信すると（Ｓ５０６にてＹＥＳ）、ＶＭＣ状態確認（１）の送信が停止される（Ｓ５０８）。さらに、第２スレイブＥＣＵ２１０Ｂにおいて、マスタ起動時の完了通知を受信すると（Ｓ５０６にてＹＥＳ）、ＶＭＣ状態確認（２）の送信が停止される（Ｓ５０８）。
【0143】
たとえば、図１４の（Ｅ）に示すように、第１スレイブＥＣＵ２１０Ａにおいて何らかの不具合によってリセットされる。これにより、第１スレイブＥＣＵ２１０Ａが再起動した場合には、起動時であると判定されるときに（Ｓ５００にてＹＥＳ）、図１４の（Ｆ－１）に示すように、第２実行品番がマスタＥＣＵ２００に送信される（Ｓ５０２）。そして、図１４の（Ｆ－２）に示すように、ＶＭＣ状態確認（１）がマスタＥＣＵ２００に送信される（Ｓ５０４）。
【0144】
マスタＥＣＵ２００は、初期チェックが実施済であると判定される場合においては（Ｓ１５０にてＹＥＳ）、第１スレイブＥＣＵ２１０ＡからＶＭＣ状態確認（１）を受信する。そして、ＶＭＣ状態確認（２）を受信しない場合（Ｓ４０２にてＮＯ）、図１４の（Ｉ）に示すように、ＶＭＣ可能（１）が第１スレイブＥＣＵ２１０Ａに送信される（Ｓ４０６）。
【0145】
第１スレイブＥＣＵ２１０Ａにおいて、マスタ起動時の完了通知を受信せずに（Ｓ５０６にてＮＯ）、ＶＭＣ可能（１）を受信する場合には（Ｓ５１０にてＹＥＳ）、図１４の（Ｊ）に示すように、ＶＭＣ要求（１）がマスタＥＣＵ２００に送信される（Ｓ５１２）。
【0146】
マスタＥＣＵ２００において、ＶＭＣ要求（１）が受信されると（Ｓ４０８にてＹＥＳ）、図１４の（Ｋ）に示すように、ＶＭＣが実行される（Ｓ４１０）。ＶＭＣが実行されると、第１実行品番と第２実行品番と第３実行品番とが整合するか否かが判定される。
【0147】
ＶＭＣの実行中において、図１４の（Ｇ）に示すように、たとえば、第２スレイブＥＣＵ２１０Ｂにおいて何らかの不具合によってリセットされ、第２スレイブＥＣＵ２１０Ｂが再起動した場合には、起動時であると判定されるときに（Ｓ５００にてＹＥＳ）、図１４の（Ｈ－１）に示すように、第３実行品番がマスタＥＣＵ２００に送信されるとともに（Ｓ５０２）、図１４の（Ｈ－２）に示すように、ＶＭＣ状態確認（２）がマスタＥＣＵ２００に送信される（Ｓ５０４）。
【0148】
マスタＥＣＵ２００において、第１実行品番と第２実行品番と第３実行品番とが整合していると判定される場合（Ｓ４１４にてＹＥＳ）、図１４の（Ｌ－１）に示すように、完了通知が第１スレイブＥＣＵ２１０Ａに送信されるとともに、図１４の（Ｌ－２）に示すように、完了通知が第２スレイブＥＣＵ２１０Ｂに送信される（Ｓ４１６）。そして、ＶＭＣ可能（２）の送信の許可状態が維持されるとともに（Ｓ４１８）、自動運転が許可されることとなる（Ｓ１６０）。
【0149】
第１スレイブＥＣＵ２１０Ａにおいて完了通知を受信すると（Ｓ５１４にてＹＥＳ）、ＶＭＣ状態確認（１）およびＶＭＣ要求（１）の送信が停止される（Ｓ５０８）。
【0150】
一方、第２スレイブＥＣＵ２１０ＢからマスタＥＣＵ２００へのＶＭＣ状態確認（２）の送信が継続されているため、ＶＭＣ状態確認（２）を受信したと判定され（Ｓ４００にてＹＥＳ）、ＶＭＣ状態確認（１）を受信しない場合（Ｓ４０２にてＮＯ）、図１４の（Ｍ）に示すように、ＶＭＣ可能（２）が第２スレイブＥＣＵ２１０Ｂに送信される（Ｓ４０６）。
【0151】
第２スレイブＥＣＵ２１０Ｂにおいて、マスタ起動時の完了通知を受信せずに（Ｓ５０６にてＮＯ）、ＶＭＣ可能（２）を受信する場合には（Ｓ５１０にてＹＥＳ）、図１４の（Ｎ）に示すように、ＶＭＣ要求（２）がマスタＥＣＵ２００に送信される（Ｓ５１２）。
【0152】
マスタＥＣＵ２００において、ＶＭＣ要求（２）が受信されると（Ｓ４０８にてＹＥＳ）、図１４の（Ｏ）に示すように、ＶＭＣが実行される（Ｓ４１０）。ＶＭＣが実行されると、第１実行品番と第２実行品番と第３実行品番とが整合するか否かが判定される。
【0153】
マスタＥＣＵ２００において、第１実行品番と第２実行品番と第３実行品番とが整合していると判定される場合（Ｓ４１４にてＹＥＳ）、図１４の（Ｐ－１）に示すように、完了通知が第１スレイブＥＣＵ２１０Ａに送信されるとともに、図１４の（Ｐ－２）に示すように、完了通知が第２スレイブＥＣＵ２１０Ｂに送信される（Ｓ４１６）。そして、ＶＭＣ可能（１）の送信の許可状態が維持されるとともに（Ｓ４１８）、自動運転が許可されることとなる（Ｓ１６０）。
【0154】
第２スレイブＥＣＵ２１０Ｂにおいて完了通知を受信すると（Ｓ５１４にてＹＥＳ）、ＶＭＣ状態確認（２）およびＶＭＣ要求（２）の送信が停止される（Ｓ５０８）。
【0155】
このように、第１スレイブＥＣＵ２１０Ａにおいては、起動する毎に第２実行品番とＶＭＣ状態確認（１）とが送信され、ＶＭＣの実行が可能であれば、ＶＭＣ要求（１）が送信される。さらに、第２スレイブＥＣＵ２１０Ｂにおいては、起動する毎に第３実行品番とＶＭＣ状態確認（２）とが総員され、ＶＭＣの実行が可能であれば、ＶＭＣ要求（２）が送信される。
【0156】
また、マスタＥＣＵ２００においては、初期チェックが未実施である場合には、第２実行品番と第３実行品番とを受信することによってＶＭＣが実行される。さらに、マスタＥＣＵ２００においては、初期チェックが実施済である場合には、ＶＭＣ状態確認（１）とＶＭＣ可能（１）との送受信の後にＶＭＣ要求（１）を受信することによってＶＭＣが実行される。あるいは、マスタＥＣＵ２００においては、初期チェックが実施済である場合には、ＶＭＣ状態確認（２）ＶＭＣ可能（２）との送受信の後にＶＭＣ要求（２）を受信することによってＶＭＣが実行される。
【0157】
そのため、たとえば、マスタＥＣＵ２００と第１スレイブＥＣＵ２１０Ａと第２スレイブＥＣＵ２１０Ｂとの更新用記憶領域に更新されたソフトウェアが記憶され、更新用記憶領域が次回の起動時の起動用記憶領域として設定されている場合において、ＩＧオフ状態になる前に、第１スレイブＥＣＵ２１０Ａと第２スレイブＥＣＵ２１０Ｂとのうちの少なくともいずれにおいて何らかの不具合が発生することによって再起動し、更新後のソフトウェアを用いて起動される場合でも、第１スレイブＥＣＵ２１０Ａまたは第２スレイブＥＣＵ２１０ＢからのＶＭＣ要求によって速やかにＶＭＣが実行される。ＶＭＣの実行によって第１実行品番と第２実行品番と第３実行品番とが整合しないと判定される場合（Ｓ４１４にてＮＯ）、自動運転が不許可状態になるなどして（Ｓ１６２）、第１スレイブＥＣＵ２１０Ａまたは第２スレイブＥＣＵ２１０Ｂのみにおいて更新されたソフトウェアを用いた機能の実行が抑制される。
【0158】
以上のようにして、本変形例に係る車載システムによると、２以上のスレイブＥＣＵを含む場合においても、複数の制御装置においてソフトウェアの識別情報の組み合わせの不整合を早期に検出することができる。
【0159】
なお、初期チェックが実施済である場合において（Ｓ１５０にてＹＥＳ）、第１スレイブＥＣＵ２１０Ａおよび第２スレイブＥＣＵ２１０Ｂの両方が何らかの不具合が発生したことにより異なるタイミングで再起動し、ＶＭＣ状態確認（１）を受信した直後に、ＶＭＣ状態確認（２）を受信した場合を想定する。この場合、次に完了通知が送信されるまで、ＶＭＣ可能（２）の送信が不許可となるためＶＭＣ状態確認（２）の受信に応じたＶＭＣ可能（２）の送信が抑制されることとなる。このようにすると、第１スレイブＥＣＵ２１０Ａと第２スレイブＥＣＵ２１０Ｂの両方とから並行してＶＭＣの実行が要求されることを抑制することができる。
【0160】
なお、本変形例においては、第１スレイブＥＣＵ２１０ＡからのＶＭＣ要求（１）に対するＶＭＣの完了通知を受信した場合に、第２スレイブＥＣＵ２１０ＢからのＶＭＣ状態確認（２）の送信が継続される場合には、マスタＥＣＵ２００からＶＭＣ可能（２）とＶＭＣ要求（２）との送受信によりＶＭＣが実行されるものとして説明したが、たとえば、完了通知の通知内容（たとえば、実行品番が整合している、あるいは、整合していない等の内容）を用いてＶＭＣの実行の要否を判定してもよい。たとえば、完了通知の通知内容が、実行品番が整合している旨の内容である場合にはＶＭＣを重複して実行しないと判定されたり、あるいは、完了通知の通知内容が、実行品番が整合していない旨の内容である場合にはＶＭＣを再実行すると判定されたりする。このようにすると、不必要にＶＭＣが実行されることを抑制することができる。
【0161】
さらに本変形例においては、初期チェックが実施済である場合において、第１スレイブＥＣＵ２１０Ａおよび第２スレイブＥＣＵ２１０Ｂのうちのいずれか一方からのＶＭＣ要求に応じてＶＭＣが実行される場合であって、かつ、他方からＶＭＣ要求に応じてＶＭＣが実行される場合を一例として説明したが、一方からのＶＭＣ要求に応じてＶＭＣが実行される場合には、他方からＶＭＣ要求を受信してもＶＭＣを実行しないようにしてもよい。このようにすると、不必要にＶＭＣが実行されることを抑制することができる。
【0162】
さらに本変形例においては、初期チェックが実施済である場合において、第１スレイブＥＣＵ２１０Ａおよび第２スレイブＥＣＵ２１０Ｂのうちのいずれか一方からのＶＭＣ要求に応じてＶＭＣが実行される場合であって、完了通知を受信した後に他方からのＶＭＣ要求に応じたＶＭＣが実行される場合を一例として説明したが、完了通知を一定時間受信しない場合に、他方からのＶＭＣ要求に応じたＶＭＣが実行されるようにしてもよい。
【0163】
なお、上記した変形例は、その全部または一部を適宜組み合わせて実施してもよい。
【0164】
今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【符号の説明】
【0165】
１ 通信システム、６ 通信ネットワーク、７ 管理サーバ、１００ 電動車両、２００ マスタＥＣＵ、２０１ ＣＰＵ、２０１Ａ 制御部、２０１Ｂ 切替部、２０２，２１２ メモリ、２０２Ａ 第１記憶領域、２０２Ｂ 第２記憶領域、２１０ スレイブＥＣＵ、２１０Ａ 第１スレイブＥＣＵ、２１０Ｂ 第２スレイブＥＣＵ、２１２Ａ 第３記憶領域、２１２Ｂ 第４記憶領域、２２０ 駆動装置、２５０ 通信バス。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】