"それぞれ互いに独立した所定処理を実行する複数の内部装置と、前記複数の内部装置に共有され、各内部装置が前記所定処理を実行するうえで必要なハードウェア資源と、前記ハードウェア資源の動作制御を行う共通処理部と、を有する統合装置と、前記統合装置に通信接続し、該統合装置が有する特定の内部装置との間で協調処理を行う外部装置と、を備える情報処理システムであって、前記内部装置は、他の内部装置とは異なる条件で異常判定を行う異常判定手段と、前記異常判定手段により前記ハードウェア資源をフェールセーフ動作させる必要のある異常が発生したと判定された場合に、前記共通処理部に対して該ハードウェア資源のフェールセーフ要求を通知するフェールセーフ要求通知手段と、を有し、前記共通処理部は、一の内部装置の有する前記フェールセーフ要求通知手段による前記フェールセーフ要求の通知を受けた場合に、他の内部装置に対して前記ハードウェア資源のフェールセーフ動作が行われることを事前に通知する事前通知手段を有し、前記内部装置は、また、前記共通処理部の有する前記事前通知手段による事前通知を受けた場合に、前記共通処理部に対して前記ハードウェア資源のフェールセーフ動作許可を通知するフェールセーフ許可通知手段を有し、前記共通処理部は、また、一の内部装置の有する前記フェールセーフ要求通知手段による前記フェールセーフ要求の通知を受けかつ他の内部装置の有する前記フェールセーフ許可通知手段による前記フェールセーフ動作許可の通知を受けた場合に、前記ハードウェア資源をフェールセーフ動作させるフェールセーフ実施手段を有し、前記内部装置は、また、前記異常判定手段により前記異常が発生したと判定され又は前記共通処理部の有する前記事前通知手段による事前通知を受けた場合に、自内部装置との間で協調処理を行う前記外部装置に対して、前記ハードウェア資源がフェールセーフ動作されること及び前記異常が自内部装置に起因するのか或いは他の内部装置に起因するのかを通知する外部通知手段を有することを特徴とする情報処理システム。前記外部装置は、自外部装置との間で協調処理を行う前記内部装置の有する前記外部通知手段による通知を受けた場合に、前記異常が該内部装置に起因するのか或いは他の内部装置に起因するのかに応じた退避処理を実行する退避処理実行手段を有することを特徴とする請求項1記載の情報処理システム。前記内部装置は、前記外部装置との間で協調処理を実行しているか否かを判別する実行/非実行判別手段を有し、前記外部通知手段は、前記実行/非実行判別手段により自内部装置と前記外部装置との間で協調処理が実行されていると判別される状況において通知を行う一方、該協調処理が実行されていないと判別される状況においては通知を行わないことを特徴とする請求項1又は2記載の情報処理システム。前記事前通知手段は、一の内部装置の有する前記フェールセーフ要求通知手段による前記フェールセーフ要求の通知を受けた場合に、該フェールセーフ要求された前記ハードウェア資源を利用して前記所定処理を実行する他の内部装置に対して事前通知を行うことを特徴とする請求項1乃至3の何れか一項記載の情報処理システム。それぞれ互いに独立した所定処理を実行する複数の内部装置と、前記複数の内部装置に共有され、各内部装置が前記所定処理を実行するうえで必要なハードウェア資源と、前記ハードウェア資源の動作制御を行う共通処理部と、を有する統合装置と、前記統合装置に通信接続し、該統合装置が有する特定の内部装置との間で協調処理を行う外部装置と、を備える情報処理システムの情報処理方法であって、前記内部装置が他の内部装置とは異なる条件で異常判定を行う異常判定ステップと、前記内部装置が、前記異常判定ステップにおいて前記ハードウェア資源をフェールセーフ動作させる必要のある異常が発生したと判定された場合に、前記共通処理部に対して該ハードウェア資源のフェールセーフ要求を通知するフェールセーフ要求通知ステップと、前記共通処理部が、前記フェールセーフ要求通知ステップにおける一の内部装置からの前記フェールセーフ要求の通知を受けた場合に、他の内部装置に対して前記ハードウェア資源のフェールセーフ動作が行われることを事前に通知する事前通知ステップと、前記内部装置が、前記事前通知ステップにおける前記共通処理部からの事前通知を受けた場合に、前記共通処理部に対して前記ハードウェア資源のフェールセーフ動作許可を通知するフェールセーフ許可通知ステップと、前記共通処理部が、前記フェールセーフ要求通知ステップにおける一の内部装置からの前記フェールセーフ要求の通知を受けかつ前記フェールセーフ許可通知ステップにおける他の内部装置からの前記フェールセーフ動作許可の通知を受けた場合に、前記ハードウェア資源をフェールセーフ動作させるフェールセーフ実施ステップと、前記内部装置が、前記異常判定ステップにおいて前記異常が発生したと判定され又は前記事前通知ステップにおける前記共通処理部からの事前通知を受けた場合に、自内部装置との間で協調処理を行う前記外部装置に対して、前記ハードウェア資源がフェールセーフ動作されること及び前記異常が自内部装置に起因するのか或いは他の内部装置に起因するのかを通知する外部通知ステップと、を備えることを特徴とする情報処理方法。しかし、上記した情報処理システムでは、統合装置内で電源停止が行われる原因或いは異常発生が判定された内部装置を示す情報が外部装置に通知されない。このため、外部装置が統合装置内の複数の内部装置のうち特定の一つの内部装置との間で協調処理を行う情報処理システムにおいては、その外部装置が、統合装置内で電源停止が行われる原因が自外部装置との間で協調処理を行う内部装置にあるのか或いは他の内部装置にあるのかを特定することができないので、自外部装置との間で協調処理を行う内部装置が異常であるか否かに関係なくその内部装置の異常発生を想定した一律な退避処理を行う必要があった。この点、かかる情報処理システムでは、統合装置内での異常時に外部装置が不要な退避処理を行う可能性がある。本発明は、上述の点に鑑みてなされたものであり、統合装置内での異常時に外部装置が行う退避処理を必要最小限に抑えることが可能な情報処理システム及び情報処理方法を提供することを目的とする。上記の目的は、それぞれ互いに独立した所定処理を実行する複数の内部装置と、前記複数の内部装置に共有され、各内部装置が前記所定処理を実行するうえで必要なハードウェア資源と、前記ハードウェア資源の動作制御を行う共通処理部と、を有する統合装置と、前記統合装置に通信接続し、該統合装置が有する特定の内部装置との間で協調処理を行う外部装置と、を備える情報処理システムであって、前記内部装置は、他の内部装置とは異なる条件で異常判定を行う異常判定手段と、前記異常判定手段により前記ハードウェア資源をフェールセーフ動作させる必要のある異常が発生したと判定された場合に、前記共通処理部に対して該ハードウェア資源のフェールセーフ要求を通知するフェールセーフ要求通知手段と、を有し、前記共通処理部は、一の内部装置の有する前記フェールセーフ要求通知手段による前記フェールセーフ要求の通知を受けた場合に、他の内部装置に対して前記ハードウェア資源のフェールセーフ動作が行われることを事前に通知する事前通知手段を有し、前記内部装置は、また、前記共通処理部の有する前記事前通知手段による事前通知を受けた場合に、前記共通処理部に対して前記ハードウェア資源のフェールセーフ動作許可を通知するフェールセーフ許可通知手段を有し、前記共通処理部は、また、一の内部装置の有する前記フェールセーフ要求通知手段による前記フェールセーフ要求の通知を受けかつ他の内部装置の有する前記フェールセーフ許可通知手段による前記フェールセーフ動作許可の通知を受けた場合に、前記ハードウェア資源をフェールセーフ動作させるフェールセーフ実施手段を有し、前記内部装置は、また、前記異常判定手段により前記異常が発生したと判定され又は前記共通処理部の有する前記事前通知手段による事前通知を受けた場合に、自内部装置との間で協調処理を行う前記外部装置に対して、前記ハードウェア資源がフェールセーフ動作されること及び前記異常が自内部装置に起因するのか或いは他の内部装置に起因するのかを通知する外部通知手段を有する情報処理システムにより達成される。また、上記の目的は、それぞれ互いに独立した所定処理を実行する複数の内部装置と、前記複数の内部装置に共有され、各内部装置が前記所定処理を実行するうえで必要なハードウェア資源と、前記ハードウェア資源の動作制御を行う共通処理部と、を有する統合装置と、前記統合装置に通信接続し、該統合装置が有する特定の内部装置との間で協調処理を行う外部装置と、を備える情報処理システムの情報処理方法であって、前記内部装置が他の内部装置とは異なる条件で異常判定を行う異常判定ステップと、前記内部装置が、前記異常判定ステップにおいて前記ハードウェア資源をフェールセーフ動作させる必要のある異常が発生したと判定された場合に、前記共通処理部に対して該ハードウェア資源のフェールセーフ要求を通知するフェールセーフ要求通知ステップと、前記共通処理部が、前記フェールセーフ要求通知ステップにおける一の内部装置からの前記フェールセーフ要求の通知を受けた場合に、他の内部装置に対して前記ハードウェア資源のフェールセーフ動作が行われることを事前に通知する事前通知ステップと、前記内部装置が、前記事前通知ステップにおける前記共通処理部からの事前通知を受けた場合に、前記共通処理部に対して前記ハードウェア資源のフェールセーフ動作許可を通知するフェールセーフ許可通知ステップと、前記共通処理部が、前記フェールセーフ要求通知ステップにおける一の内部装置からの前記フェールセーフ要求の通知を受けかつ前記フェールセーフ許可通知ステップにおける他の内部装置からの前記フェールセーフ動作許可の通知を受けた場合に、前記ハードウェア資源をフェールセーフ動作させるフェールセーフ実施ステップと、前記内部装置が、前記異常判定ステップにおいて前記異常が発生したと判定され又は前記事前通知ステップにおける前記共通処理部からの事前通知を受けた場合に、自内部装置との間で協調処理を行う前記外部装置に対して、前記ハードウェア資源がフェールセーフ動作されること及び前記異常が自内部装置に起因するのか或いは他の内部装置に起因するのかを通知する外部通知ステップと、を備える情報処理方法により達成される。本発明によれば、統合装置内での異常時に外部装置が行う退避処理を必要最小限に抑えることができる。以下、図面を用いて、本発明に係る情報処理システムの具体的な実施の形態について説明する。図1は、本発明の一実施例である情報処理システム10の構成図を示す。また、図2は、本実施例の情報処理システム10が備える統合装置12の構成図を示す。本実施例の情報処理システム10は、例えば車両に搭載される車両用情報処理システムであって、各種装置間で情報授受を行うシステムである。本実施例において、情報処理システム10は、それぞれ互いに独立した処理を行って互いに独立した機能を実現する複数の装置14を備えている。装置14は、例えば、ハイブリッド自動車の電源制御を行うHV電源制御装置、スロットル開度を制御するスロットル制御装置、スマートイグニションの制御を行うスマートIG装置、スマートエントリーの制御を行うスマートエントリー装置、2つの異なる通信線間のデータ伝送を行うゲートウェイ装置などである。以下、本実施例では、情報処理システム10が備える装置14は、図1に示す如く、5個あるとし、それぞれ14A,14B,14C,14D,14Eであるとする。すべての装置14のうち少なくとも2つの装置14本実施例では3つの装置14A,14B,14Cは、統合装置12内で統合されてそれぞれ制御されている。以下、統合装置12内で統合されている装置14A,14B,14Cを内部装置14A,14B,14Cと称す。統合装置12は、上記した内部装置14A,14B,14Cと、それら内部装置14A,14B,14Cに共有されるハードウェア資源16と、そのハードウェア資源16の動作制御を行う共通処理部18と、を有している。各内部装置14A,14B,14Cはそれぞれ、独自処理を実行するうえで共有のハードウェア資源16を用いて動作する。ハードウェア資源16は、各内部装置14A,14B,14Cがそれぞれ独自処理を実行するうえで必要な例えばマイコンやCPU,メモリなどである。また、共通処理部18は、統合装置12全体ハードウェア資源16を含むの起動/停止処理を行うと共に、ハードウェア資源16が何れの内部装置14A,14B,14Cに使用されているか否かなどの関連情報を管理している。すべての装置14のうち少なくとも1つの装置14本実施例では2つの装置14D,14Eは、統合装置12外に設けられている。以下、この統合装置12外の装置14D,14Eを外部装置14D,14Eと称す。外部装置14D,14Eは共に、通信線20を介して統合装置12と通信接続されている。通信線20は、例えばCAN等の双方向通信可能な通信線である。外部装置14D,14Eはそれぞれ、通信線20に適した通信プロトコルに従って統合装置12との間でデータ送受を行うことが可能であり、統合装置12の有する内部装置14A,14B,14Cと協調連携する機能を有している。以下、本実施例では、外部装置14Dは、統合装置12の有する内部装置14Cとの間で互いに通信線20を利用したデータ送受を行うことで協調処理を行うことが可能であるとし、また、外部装置14Eは、統合装置12の有する内部装置14Bとの間で互いに通信線20を利用したデータ送受を行うことで協調処理を行うことが可能であるとする。次に、図3~図13を参照して、本実施例の情報処理システム10の動作について説明する。図3は、本実施例の情報処理システム10が備える統合装置12が有する内部装置14A,14B,14Cにおいて実行されるメインルーチンの一例のフローチャートを示す。図4~図6はそれぞれ、本実施例の内部装置14A,14B,14Cにおいて実行されるサブルーチンの一例のフローチャートを示す。図7は、本実施例の情報処理システム10が備える統合装置12が有する共通処理部18において実行されるメインルーチンの一例のフローチャートを示す。図8~図10はそれぞれ、本実施例の共通処理部18において実行されるサブルーチンの一例のフローチャートを示す。図11は、本実施例の情報処理システム10が備える外部装置14D,14Eにおいて実行されるメインルーチンの一例のフローチャートを示す。また、図12及び図13はそれぞれ、本実施例の外部装置14D,14Eにおいて実行されるサブルーチンの一例のフローチャートを示す。本実施例の情報処理システム10において、各内部装置14A,14B,14Cはそれぞれ、予め定められた独自処理特定の外部装置14D,14Eとの協調処理を含むを実行する機能主たる機能と、その主たる機能を実現するのに必要なハードウェア資源16等の異常を検出する機能異常判定機能と、異常発生時に安全性確保等のために統合装置12を停止させる必要があるか否かを判断する機能停止判断機能と、統合装置12の停止必要時に退避処理を実行する機能退避処理機能と、を有している。尚、各内部装置14A,14B,14Cの異常判定機能は、互いに異なる条件で異常判定を行うものである。すなわち、ある一つの異常が発生した場合、他の異常が発生していなければ、内部装置14A,14B,14Cのうち2以上のものが同時に異常発生の旨の判定を行うことはなく、一つの内部装置14のみが異常発生の判定を行うこととなる。内部装置14A,14B,14Cが検出する異常としては、例えば、ハードウェア資源16であるマイコンに内蔵されるA/Dコンバータの変換異常、ミラーチェックやサムチェック不一致によるメモリ上のデータ化け異常、ALUArithmeticLogicUnit演算の異常などである。また、異常判定の条件としては、例えば、A/Dコンバータの変換異常のときは、内部装置14Aはその変換異常を監視する一方で、内部装置14B,14Cはその変換異常を監視しないことなどである。また、メモリ上の化け異常のときは、内部装置14Aはその化け異常を監視する一方で、内部装置14B,14Cはその化け異常を監視しないことなどである。更に、ALU演算の異常のときは、内部装置14AはそのALU演算の異常が10ms以上継続して異常発生を判定する一方で、内部装置14BはそのALU演算の異常が20ms以上継続して異常発生を判定することなどである。本実施例において、各内部装置14A,14B,14Cはそれぞれ、ハードウェア資源16を用いて独自処理を実行することで主たる機能を実現しつつステップ100、更には、使用するハードウェア資源16等の異常を検出する異常判定機能を実現するステップ120。具体的には、異常判定機能としては、まず、予め自内部装置14に対して定められた異常判定条件に従って異常発生の有無を確認するステップ122。そして、異常が発生していないと判別した場合ステップ124の否定判定時は、以後何ら処理を進めることなく処理を終了し、一方、異常が発生していると判別した場合ステップ124の肯定判定時は、次に、ハードウェア資源16などに異常が発生していることを停止判断機能へ通知してステップ126、その後に処理を終了する。各内部装置14A,14B,14Cはそれぞれ、異常判定機能を実現した後、統合装置12を停止させる必要があるかを判断する停止判断機能を実現するステップ140。具体的には、停止判断機能としては、まず、異常判定機能からの異常通知の入力有無及び後述の如く共通処理部18からのハードウェア資源16のフェールセーフ動作の事前通知の入力有無を確認するステップ142。そして、異常通知の入力が無くかつフェールセーフ動作の事前通知の入力が無いと判別した場合ステップ144の否定判定時は、以後何ら処理を進めることなく処理を終了する。一方、異常通知の入力が有り又はフェールセーフ動作の事前通知の入力が有ると判別した場合ステップ144の肯定判定時は、次に、その異常内容及びフェールセーフ動作内容などに基づいて統合装置12を停止させる必要があるか否かを判断するステップ146。その結果、統合装置12の停止の必要が無いと判別した場合ステップ148の否定判定時は、以後何ら処理を進めることなく処理を終了する。一方、統合装置12の停止の必要が有ると判別した場合ステップ148の肯定判定時は、次に、統合装置12を停止させるべきことを退避処理機能へ通知するステップ150。また、かかる退避処理機能への通知を行った後、その統合装置12を停止させる必要のある異常が自内部装置14で検出されたものすなわち自内部装置14に起因するものであるのかを判別するステップ152。自内部装置14の異常判定機能からの異常通知の入力があった場合は、異常が自内部装置14に起因するものであると判別する。一方、共通処理部18からのハードウェア資源16のフェールセーフ動作の事前通知の入力があった場合は、異常が自内部装置14に起因するものではなく、自内部装置14とは異なる他の内部装置14に起因するものであると判別する。その結果、異常が自内部装置14に起因するものであると判別した場合は、次に、統合装置12を停止させるべき理由として自内部装置14の異常故障を設定するステップ154と共に、停止判断機能での判断結果として停止要求を設定するステップ156。一方、異常が自内部装置14とは異なる他の内部装置14に起因するものであると判別した場合は、次に、統合装置12を停止させるべき理由として他の内部装置14の異常故障を設定するステップ158と共に、停止判断機能での判断結果として停止許可を設定するステップ160。そして、上記の如く統合装置12の停止理由と停止判断機能での判断結果とをそれぞれ設定すると、その統合装置12の停止理由を退避処理機能へ通知しステップ162、かつ、停止要求又は停止許可を示す停止判断結果を共通処理部18へ通知するステップ164。各内部装置14A,14B,14Cはそれぞれ、停止判断機能を実現した後、統合装置12の停止必要時に退避処理を実行する退避処理機能を実現するステップ180。具体的には、退避処理機能としては、まず、停止判断機能からの統合装置12を停止させるべきことの通知及びその停止理由の通知の入力有無を確認するステップ182。そして、かかる通知の入力が無いと判別した場合ステップ184の否定判定時は、以後何ら処理を進めることなく処理を終了し、一方、かかる通知の入力が有ると判別した場合ステップ184の肯定判定時は、次に、統合装置12を停止させるべき理由が自内部装置14に有るか否かを判別するステップ186。その結果、統合装置12を停止させるべき理由が自内部装置14に有ると判別した場合は、次に、自内部装置14との間で協調処理を行う外部装置14D,14Eに対して通知すべき統合装置12の停止理由として自内部装置14の異常故障を設定するステップ188。一方、統合装置12を停止させるべき理由が自内部装置14に無くて他の内部装置14に有ると判別した場合は、次に、自内部装置14との間で協調処理を行う外部装置14D,14Eに対して通知すべき統合装置12の停止理由として他の内部装置14の異常故障を設定するステップ190。各内部装置14A,14B,14Cはそれぞれ、停止判断機能から退避処理機能への統合装置12を停止させるべきことの通知及びその停止理由の通知の入力があった場合ステップ184の肯定判定時において、上記の如く外部装置14D,14Eに対して通知すべき統合装置12の停止理由を設定すると、統合装置12が停止される予定であること及びその統合装置12の停止理由を、自内部装置14との間で協調処理を行う外部装置14へ通知しステップ192、かつ、自内部装置14でその統合装置12の停止に備えた退避処理を実行するステップ194。尚、内部装置14A,14B,14Cから外部装置14D,14Eへ通知する情報には、統合装置12の停止予告と、統合装置12の停止理由自内部装置14の異常に起因するのか或いは他の内部装置14の異常に起因するのかを示す情報と、外部装置14D,14Eの退避処理のための指令値と、が含まれる。尚、この外部装置14D,14Eの退避処理とは、異常検出のマスクや安全な制御処理への切り替えなどである。また、この退避処理のための指令値とは、例えば、外部装置14Dがスロットル制御装置であってかつ内部装置14Cが目標スロットル開度を外部装置14Dへ指令する情報処理システムでは、直前に指令していた開度よりも大きくないスロットル開度又は目標開度ゼロのことである。また、本実施例において、共通処理部18は、各内部装置14A,14B,14Cとの間でハードウェア資源16統合装置12全体の起動停止に関わる情報を授受する機能と、ハードウェア資源16の起動停止を調停決定する機能と、ハードウェア資源16の起動停止を実行する機能と、を有している。また、共通処理部18は、内部装置14A,14B,14Cが外部装置14D,14Eとの間で協調処理を行う際に通信線20を介して情報を授受する機能を有している。共通処理部18は、まず、機能を実現するうえでの事前処理を実行するステップ200。そして、各内部装置14A,14B,14Cから通知される内容を確認するステップ220。具体的には、この確認処理としては、まず、何れかの内部装置14A,14B,14Cからの統合装置12の停止要求又は停止許可を示す停止判断結果の通知を受け、その通知内容が停止要求であることで、統合装置12を停止させて共有のハードウェア資源16をフェールセーフ動作させるべきことを指示するものであるかを確認するステップ222。尚、ハードウェア資源16のフェールセーフ動作としては、マイコンリセットやメモリの初期化などである。そして、通知内容がハードウェア資源16へのフェールセーフ動作指示でないと判別した場合ステップ224の否定判定時は、以後何ら処理を進めることなく処理を終了し、一方、通知内容がハードウェア資源16へのフェールセーフ動作指示であると判別した場合ステップ224の肯定判定時は、そのフェールセーフ動作が行われるべき特定のハードウェア資源16を示す情報とその指示内容とをメモリに記憶するステップ226。共通処理部18は、各内部装置14A,14B,14Cからの通知内容を確認した後、内部装置14A,14B,14Cへの通知要否を判断するステップ240。具体的には、通知要否判断としては、まず、上記の如くメモリに記憶したフェールセーフ動作が行われるべき特定のハードウェア資源16と、内部装置14A,14B,14Cと、の関連情報を調査するステップ242。各内部装置14A,14B,14Cがそれぞれ処理を行ううえで用いるハードウェア資源16は、すべてのハードウェア資源16のうちの一部に限定されることがあり、更には、内部装置14A,14B,14Cごとに異なることがある。共通処理部18は、内部装置14A,14B,14Cごとにその内部装置14A,14B,14Cが処理を行ううえで用いるハードウェア資源16を示す情報を予め記憶しており、この記憶情報に基づいて上記の関連情報を調査する。共通処理部18は、上記の関連情報の調査の結果、フェールセーフ動作が行われるべき特定のハードウェア資源16を処理に用いる内部装置14A,14B,14Cが存在しないと判別した場合ステップ244の否定判定時は、以後何ら処理を進めることなく処理を終了する。一方、特定のハードウェア資源16を処理に用いる内部装置14A,14B,14Cが存在すると判別した場合ステップ244の肯定判定時は、次に、その内部装置14A,14B,14Cに対して、処理に用いるハードウェア資源16がフェールセーフ動作されることを事前に通知することが必要であるか否かを判断するステップ246。例えば、かかる事前通知は、ハードウェア資源16のフェールセーフ動作指示を共通処理部18に通知した内部装置14A,14B,14C以下、原因内部装置14とする。に対しては不要であるが、フェールセーフ動作が行われるべき特定のハードウェア資源16を処理に用いるすべての内部装置14A,14B,14Cのうちそのフェールセーフ動作指示を共通処理部18に通知した原因内部装置14を除いたもの以下、対象内部装置14とする。に対しては必要である。従って、共通処理部18は、ステップ246で特定のハードウェア資源16を処理に用いる内部装置14A,14B,14Cに原因内部装置14以外に対象内部装置14が含まれるか否かを判別することで、上記の事前通知が必要であるか否かを判断することとしてもよい。共通処理部18は、上記の通知必要判断の結果、事前通知が必要でないと判別した場合ステップ248の否定判定時は、以後何ら処理を進めることなく処理を終了する。一方、事前通知が必要であると判別した場合ステップ248の肯定判定時は、対象内部装置14に対して、フェールセーフ動作が行われるべき特定のハードウェア資源16を示す情報及びそのフェールセーフ指示内容例えば、縮退、停止、初期化などを示す情報を含めたハードウェア資源16のフェールセーフ動作の事前通知を行うステップ250。ハードウェア資源16のフェールセーフ動作を指示したものを除いた内部装置14A,14B,14Cは、共通処理部18から上記のハードウェア資源16のフェールセーフ動作の事前通知を受けると、上記したステップ144以降の処理を実行し、異常が他の内部装置14に起因するものであるとして、統合装置12を停止させるべき理由として他の内部装置14の異常を設定したうえで、統合装置12の停止許可を設定した停止判断結果を共通処理部18へ通知するステップ164。共通処理部18は、内部装置14A,14B,14Cへの通知要否を判断した後、フェールセーフ処置の実施処理を行うステップ260。具体的には、フェールセーフ処置の実施処理としては、まず、ハードウェア資源16のフェールセーフ動作の事前通知を行った対象内部装置14からの停止判断結果の通知の入力有無を確認するステップ262。そして、何れかの対象内部装置14から統合装置12の停止を許可する指示すなわち、ハードウェア資源16のフェールセーフ動作を許可する指示が無いと判別した場合ステップ264の否定判定時は、以後何ら処理を進めることなく処理を終了する。一方、すべての対象内部装置14から統合装置12の停止を許可する指示すなわち、ハードウェア資源16のフェールセーフ動作を許可する指示が有ると判別した場合ステップ264の肯定判定時は、特定のハードウェア資源16をフェールセーフ動作させるステップ266。更に、本実施例において、各外部装置14D,14Eはそれぞれ、予め定められた独自処理特定の内部装置14A,14B,14Cとの協調処理を含むを実行する機能主たる機能と、協調処理を行う内部装置14A,14B,14Cからの統合装置12の停止通知があるか否かを判断する機能停止判断機能と、統合装置12の停止必要時に行うべき退避処理の内容を決定する機能退避内容判断機能と、統合装置12の停止必要時に退避処理を実行する機能退避処理機能と、を有している。各外部装置14D,14Eはそれぞれ、独自処理を実行することで主たる機能を実現しつつステップ300、更には、協調処理を行う内部装置14A,14B,14Cからの統合装置12の停止通知があるか否かを判断する停止判断機能を実現するステップ320。具体的には、停止判断機能としては、まず、協調処理を行う内部装置14A,14B,14Cからの統合装置12の停止通知の入力有無を確認するステップ322。そして、その停止通知の入力が無いと判別した場合ステップ324の否定判定時は、以後何ら処理を進めることなく処理を終了する。一方、その停止通知の入力が有ると判別した場合ステップ324の肯定判定時は、次に、その停止通知においてその停止理由が自外部装置14D,14Eとの間で協調処理を行う内部装置14A,14B,14Cとは異なる他の内部装置14の異常であるか否かを判別するステップ326。その結果、統合装置12の停止理由が自外部装置14D,14Eとの間で協調処理を行う内部装置14A,14B,14Cの異常であると判別した場合は、以後何ら処理を進めることなく処理を終了する。一方、統合装置12の停止理由が自外部装置14D,14Eとの間で協調処理を行う内部装置14A,14B,14Cとは異なる他の内部装置14の異常であると判別した場合は、次に、その統合装置12の停止理由を退避内容判断機能へ通知するステップ328。各外部装置14D,14Eはそれぞれ、停止判断機能を実現した後、統合装置12の停止必要時に行うべき退避処理の内容を決定する退避内容判断機能を実現するステップ340。具体的には、退避内容判断機能として、まず、停止判断機能からの統合装置12の停止理由の通知の入力有無を確認するステップ342。そして、かかる通知の入力が無いと判別した場合ステップ344の否定判定時は、以後何ら処理を進めることなく処理を終了する。一方、かかる通知の入力が有ると判別した場合ステップ344の肯定判定時は、次に、統合装置12の停止理由が自外部装置14D,14Eとの間で協調処理を行う内部装置14A,14B,14Cとは異なる他の内部装置14の異常であるか否かを判別するステップ346。その結果、統合装置12の停止理由が自外部装置14D,14Eとの間で協調処理を行う内部装置14A,14B,14Cの異常であると判別した場合は、自外部装置14D,14Eとの間で協調処理を行う内部装置14A,14B,14Cの異常を示す情報をメモリに記憶するステップ348。一方、統合装置12の停止理由が自外部装置14D,14Eとの間で協調処理を行う内部装置14A,14B,14Cの異常でないと判別した場合は、その内部装置14A,14B,14Cのメモリへの異常記憶を行わないステップ350。各外部装置14D,14Eはそれぞれ、退避内容判断機能を実現した後、統合装置12の停止必要時に退避処理を実行する退避処理機能を実現するステップ360。具体的には、退避処理機能としては、メモリに自外部装置14D,14Eが協調処理を行う内部装置14A,14B,14Cの異常を示す情報が記憶されているか否かに応じた退避処理を実行する。自外部装置14D,14Eが協調処理を行う内部装置14A,14B,14Cの異常を示す情報が記憶されている場合は、その異常確定前からその内部装置14A,14B,14Cの機能及び協調処理が十分に果たされていない可能性があるので、通常時から比較的大きな変更重大な変更を伴う退避処理を行う。一方、自外部装置14D,14Eが協調処理を行う内部装置14A,14B,14Cの異常を示す情報が記憶されていない場合は、通常時に比べてあまり大きくない変更軽微な変更を伴う退避処理を行う。例えば、上記した外部装置14Dがスロットル制御装置であってかつ内部装置14Cが目標スロットル開度を外部装置14Dへ指令する情報処理システムでは、メモリに自外部装置14D,14Eが協調処理を行う内部装置14A,14B,14Cの異常を示す情報が記憶されている場合は、目標開度ゼロを指令する。一方、メモリに自外部装置14D,14Eが協調処理を行う内部装置14A,14B,14Cの異常を示す情報が記憶されていない場合は、直前に指令していた開度よりも大きくないスロットル開度を指令する。このように本実施例の情報処理システムにおいては、統合装置12内で互いに異なる条件で異常判定を行う内部装置14A,14B,14Cの何れかが異常発生を検知した場合に、その異常発生を検知した内部装置14A,14B,14C原因内部装置14における処理に用いるハードウェア資源16をフェールセーフ動作させる必要があるときは、その原因内部装置14から共通処理部18へ自内部装置14A,14B,14Cの異常を理由として統合装置12の停止特定のハードウェア資源16のフェールセーフ動作を要求する通知を行う。その後、共通処理部18から他の内部装置14A,14B,14C対象内部装置14へ原因内部装置14の異常に起因してハードウェア資源16がフェールセーフ動作されることを知らせる事前通知を行うと共に、更に、その事前通知を受けた対象内部装置14から共通処理部18へ統合装置12の停止を許可する通知を行う。そして、共通処理部18が原因内部装置14からの統合装置12の停止要求通知を受けかつ他のすべての対象内部装置14からの停止許可通知を受けた場合に、特定のハードウェア資源16をフェールセーフ動作させる。かかる情報処理によれば、統合装置12内で一の原因内部装置14が異常発生を検知した場合に、その異常に基づく特定のハードウェア資源16がフェールセーフ動作されることを事前に他のすべての対象内部装置14に知らせることができると共に、その他のすべての対象内部装置14からの停止許可によりその特定のハードウェア資源16のフェールセーフ動作を実施させることができる。このため、本実施例によれば、フェールセーフ動作が行われる特定のハードウェア資源16を処理に用いる対象内部装置14にその特定のハードウェア資源16がフェールセーフ動作されることを知らせることなく、そのフェールセーフ動作が実施されるのを回避することができるので、ハードウェア資源16のフェールセーフ動作が不意に原因内部装置14とは異なる対象内部装置14の処理に影響を与えるのを防止することができ、ハードウェア資源16のフェールセーフ動作に対して対象内部装置14での退避処理を適切に実行させることができる。また、上記の情報処理によれば、統合装置12内で一の原因内部装置14が異常発生を検知した場合、又は、その後に他のすべての対象内部装置14が特定のハードウェア資源16がフェールセーフ動作されることを共通処理部18から事前通知された場合に、その原因内部装置14又は対象内部装置14との間で協調処理を行う外部装置14D,14Eに、その協調処理を行う原因内部装置14又は対象内部装置14の処理に用いる特定のハードウェア資源16がフェールセーフ動作されることを知らせるだけでなく、そのフェールセーフ動作がその協調処理を行う内部装置14A,14B,14Cの異常に起因するのか或いは協調処理を行わない内部装置14A,14B,14Cの異常に起因するのかを知らせることができる。また、統合装置内12の一の原因内部装置14に異常が発生した場合に、外部装置14D,14Eに、協調処理を行う内部装置14A,14B,14Cがその原因内部装置14すなわち異常発生要因であるのか或いはその原因内部装置14とは異なる対象内部装置14であるのかに応じた退避処理を実施させることができる。このため、本実施例によれば、原因内部装置14又は対象内部装置14との間で協調処理を行う外部装置14D,14Eに、特定のハードウェア資源16がフェールセーフ動作されることを知らせることなく、そのフェールセーフ動作が実施されるのを回避することができるので、ハードウェア資源16のフェールセーフ動作が不意に外部装置14D,14Eの処理に影響を与えるのを防止することができ、統合装置12内での異常が外部装置14D,14Eへ拡散するなどの影響を排除することができ、ハードウェア資源16のフェールセーフ動作に対して外部装置14D,14Eでの退避処理を適切に実行させることができる。また、本実施例によれば、統合装置内12の一の原因内部装置14に異常が発生した場合に、外部装置14D,14Eに実施させる退避処理を、その外部装置14D,14Eと協調処理を行う内部装置14A,14B,14Cがその原因内部装置14すなわち異常発生要因であるのかに応じて選択することができるので、外部装置14D,14Eでの退避処理を、協調処理を行う内部装置14A,14B,14Cが異常発生要因であることを想定した一律なものとする必要はなく、必要最小限に抑えることができる。尚、上記の実施例においては、内部装置14A,14B,14Cが他の内部装置14A,14B,14Cと異なる条件で異常判定を行うことが特許請求の範囲に記載した異常判定手段及び異常判定ステップに、内部装置14A,14B,14Cが図5に示すルーチン中ステップ156の処理後にステップ164の処理を実行することが特許請求の範囲に記載したフェールセーフ要求通知手段及びフェールセーフ要求通知ステップに、共通処理部18が図9に示すルーチン中ステップ250の処理を実行することが特許請求の範囲に記載した事前通知手段及び事前通知ステップに、内部装置14A,14B,14Cがステップ160の処理後にステップ164の処理を実行することが特許請求の範囲に記載したフェールセーフ許可通知手段及びフェールセーフ許可通知ステップに、共通処理部18が図10に示すルーチン中ステップ266の処理を実行することが特許請求の範囲に記載したフェールセーフ実施手段及びフェールセーフ実施ステップに、内部装置14A,14B,14Cが図6に示すルーチン中ステップ192の処理を実行することが特許請求の範囲に記載した外部通知手段及び外部通知ステップに、外部装置14D,14Eが図11に示すルーチン中ステップ360の処理を実行することが特許請求の範囲に記載した退避処理実行手段に、それぞれ相当している。ところで、上記の実施例においては、内部装置14A,14B,14Cが、異常発生を検知した場合又は共通処理部18から原因内部装置14の異常に起因してハードウェア資源16がフェールセーフ動作されることを知らせる事前通知を受けた場合に、自内部装置14A,14B,14Cとの間で協調処理を行う外部装置14D,14Eに対して、ハードウェア資源16がフェールセーフ動作されること及び異常が自内部装置14A,14B,14Cに起因するのか或いは他の内部装置14A,14B,14Cに起因するのかを通知することとしているが、この内部装置14A,14B,14Cから外部装置14D,14Eへの通知を、両者が実際に協調処理を行っているタイミングに限り行うこととしてもよい。図14は、本変形例の内部装置14A,14B,14Cにおいて実行されるサブルーチンの一例のフローチャートを示す。すなわち、本変形例は、内部装置14A,14B,14Cに図6に示すルーチンに代えて図14に示すルーチンを実行させることにより実現される。尚、図14において、図6に示すルーチンと同一の処理を実行するステップについては、同一の符号を付してその説明を省略又は簡略する。各内部装置14A,14B,14Cはそれぞれ、退避処理機能において停止判断機能からの統合装置12を停止させるべきことの通知及びその停止理由の通知の入力が有ると判別した場合ステップ184の肯定判定時は、次に、自内部装置14A,14B,14Cとの間で協調処理を行う外部装置14D,14Eと実際に協調処理を行っているか否かを判別するステップ400。かかる協調処理を現時点で行っている場合は、統合装置12が停止されるとその協調処理が影響を受けるので、その外部装置14D,14Eに統合装置12が停止されることを知らせることが必要である。一方、かかる協調処理を現時点で行っていない場合は、統合装置12が停止されても協調処理が影響を受けないので、その外部装置14D,14Eに統合装置12が停止されることを知らせることは不要である。各内部装置14A,14B,14Cはそれぞれ、外部装置14D,14Eと実際に協調処理を行っていると判別した場合は、次に上記ステップ186の処理を実行する。一方、外部装置14D,14Eと実際に協調処理を行っていないと判別した場合は、次に、その外部装置14D,14Eに対する統合装置12が停止されることの通知を不要に設定する。そして、ステップ188又は190の処理を行った後、外部装置14D,14Eに対する統合装置12が停止されることの通知が必要であるかを判別するステップ404。その結果、その通知が必要であると判別した場合は、次に上記ステップ192の処理を実行する一方、その通知が不要であると判別した場合は、そのステップ192の処理をジャンプしてステップ194の処理を実行する。統合装置12内で異常が発生した場合において、内部装置14A,14B,14Cから協調処理を行う外部装置14D,14Eへの通知処理が完了するまで統合装置12は停止されないので、統合装置12内での異常発生からその統合装置12の停止まで多くの時間を要することとなる。これに対して、上記の変形例の構成によれば、内部装置14A,14B,14Cが外部装置14D,14Eとの間で実際に協調処理を実行しているか否かに応じて、その内部装置14A,14B,14Cからその外部装置14D,14Eへの通知実施/不実施を切り替えることができ、その協調処理が実際に実行されていないときは、その通知自体が行われない。このため、統合装置12内で異常が発生した場合において外部装置14D,14Eへの影響が無いときは、速やかにその統合装置12を停止させることができ、より安全性を向上させることが可能である。尚、この変形例においては、内部装置14A,14B,14Cが図14に示すルーチン中ステップ400の処理を実行することが特許請求の範囲に記載した実行/非実行判別手段に相当する。また、上記の実施例においては、統合装置12の起動/停止処理を行う共通処理部18が、統合装置12内において内部装置14A,14B,14Cとは別個独立したものとしているが、図15に示す如く、何れか一つの内部装置14A,14B,14C図15においては内部装置14C内に具備されるものとしてもよい。また、上記の実施例においては、統合装置12の起動/停止処理を行う手段が、共通処理部18内に具備されているが、図16に示す如く、更に少なくとも一つ以上の内部装置14A,14B,14C図16においてはすべての内部装置14A,14B,14C内に具備されるものとしてもよい。かかる変形例によれば、共通処理部18に異常が発生した場合に、統合装置12の起動/停止処理を共通処理部18側から内部装置14A,14B,14C側へ切り替えることができ、統合装置12を安全に停止させることが可能となる。"