WO2023210766A1

WO2023210766A1 - ブレーキシステム

Info

Publication number: WO2023210766A1
Application number: PCT/JP2023/016714
Authority: WO
Inventors: 和弘吉田; 拓人吉田; 翔深見
Original assignee: Denso Corp; Advics Co Ltd
Current assignee: Denso Corp; Advics Co Ltd
Priority date: 2022-04-29
Filing date: 2023-04-27
Publication date: 2023-11-02
Anticipated expiration: 2024-10-29
Also published as: DE112023002069T5; US20250033613A1; JP2023164180A; JP7609121B2; CN119095750A

Abstract

ブレーキ回路（１０）を制御するブレーキシステムは、ブレーキペダル（９１）の操作量に応じた検出信号を出力する４つ以上のセンサ（２１、２２、２３、２４）と、１つの所定のセンサ（２３）を除く３つ以上のセンサ（２１、２２、２４）が接続される第１電子制御装置（３１）と、３つ以上のセンサのうちの１つの共通のセンサ（２４）の２つのセンサが接続される第２電子制御装置（３２）とを含む電子制御装置（３０）と、を備える。第１電子制御装置は、３つ以上のセンサが正常状態であることを判定する。第２電子制御装置は、２つのセンサのいずれも正常状態であることをする。電子制御装置は、第１電子制御装置が、３つ以上のセンサが正常状態であると判定せず、第２電子制御装置が、２つのセンサのいずれも正常状態であると判定する場合、所定のセンサおよび共通のセンサのうち少なくとも一方のセンサが検出する操作量に基づいてブレーキ回路を制御する。

Description

ブレーキシステム

関連出願への相互参照

　本出願は、２０２２年４月２９日に出願された日本特許出願番号２０２２－０７５５６２号に基づくもので、ここにその記載内容が参照により組み入れられる。

　本開示は、ブレーキシステムに関する。

　従来、ブレーキペダルを測定するペダル測定ユニットと、ペダル測定ユニットが測定する測定結果に基づいて、ブレーキの目標値を求めるコンピュータ装置とを備える車両ブレーキ装置が知られている（例えば、特許文献１参照）。この車両ブレーキ装置が備えるペダル測定ユニットは、相互に独立して構成され、ペダル操作に応じた信号を供給する第１の測定装置および第２の測定装置と、第１の測定装置および第２の測定装置が測定した測定値を検査するモニタ要素とを備える。モニタ要素は、自身が測定するブレーキペダルの測定結果と、第１の測定装置および第２の測定装置それぞれが測定するブレーキペダルの測定結果とを比較することで、第１の測定装置および第２の測定装置それぞれの測定結果が正常か異常かを判定する。
　コンピュータ装置は、第１の測定装置の測定結果および第２の測定装置の測定結果のうち、モニタ要素によって正常に機能していると判定された測定装置の測定結果に基づいてブレーキの目標値を求める。これにより、車両を制動するブレーキ回路を制御するブレーキシステムとしての冗長性を確保している。以下、ブレーキペダルの測定を行う測定装置をセンサとも呼ぶ。

特許第３８９４９５１号公報

　しかし、ブレーキシステムが３つのセンサを有する場合において、３つのうちの２つのセンサが故障して異常状態となると、異常状態となったセンサが特定されていない状態で３つのセンサそれぞれの検出信号を単に比較しても、正常な検出信号を特定できない。この場合、ブレーキシステムとしての冗長性を確保することができない。このようなことは、発明者らの詳細な検討の結果、見出された。

　本開示は、複数のセンサを有するブレーキシステムにおいて、２つ以上のセンサが故障する場合であっても、冗長性を確保可能なブレーキシステムを提供することを目的とする。

　本開示の１つの観点によれば、
　車両を制動するブレーキ回路を制御するブレーキシステムであって、
　運転者に操作されるブレーキペダルの操作量を検出し、検出した操作量に応じた検出信号を生成して出力する４つ以上のセンサと、
　４つ以上のセンサのうちの１つの所定のセンサを除く３つ以上のセンサが接続される第１電子制御装置と、所定のセンサおよび３つ以上のセンサのうちの１つの共通のセンサの２つのセンサが接続される第２電子制御装置とを含み、４つ以上のセンサが検出する操作量に基づいてブレーキ回路を制御する電子制御装置と、を備え、
　第１電子制御装置は、３つ以上のセンサそれぞれが検出する操作量に基づいて、３つ以上のセンサに正常状態であるセンサが存在することを判定可能であって、
　第２電子制御装置は、２つのセンサそれぞれが検出する操作量に基づいて、２つのセンサのいずれも正常状態であることを判定可能であって、
　電子制御装置は、
　第１電子制御装置が、３つ以上のセンサに正常状態であるセンサが存在すると判定せず、第２電子制御装置が、２つのセンサのいずれも正常状態であると判定する場合、所定のセンサおよび共通のセンサのうち少なくとも一方のセンサが検出する操作量に基づいてブレーキ回路を制御する。

　これによれば、第１電子制御装置に接続される３つ以上のセンサのうちの２つのセンサが異常状態であっても、第２電子制御装置に接続される所定のセンサおよび共通のセンサが検出する操作量に基づいてブレーキ回路を制御することができる。このため、ブレーキシステムとしての冗長性を確保することができる。

　なお、各構成要素等に付された括弧付きの参照符号は、その構成要素等と後述する実施形態に記載の具体的な構成要素等との対応関係の一例を示すものである。

本実施形態に係るブレーキシステムの概略構成図である。本実施形態に係るブレーキペダル装置の外観図である。本実施形態の第１ＥＣＵが実行する第１差分フラグ、第２差分フラグ、第３差分フラグを更新する制御処理を示すフローチャートである。本実施形態の第１ＥＣＵが実行する多数決判定処理を示すフローチャートである。第１センサ、第２センサおよび第４センサが正常状態である場合の各センサが検出する操作量の一例を示す図である。第１センサが異常状態である場合の各センサが検出する操作量の一例を示す図である。第１センサ、第２センサおよび第４センサのうち少なくとも２つが異常状態である場合の各センサが検出する操作量の一例を示す図である。第１センサ、第２センサおよび第４センサのうち少なくとも２つが異常状態である場合の各センサが検出する操作量のその他の例を示す図である。第１ＥＣＵが決定するブレーキペダルの操作量を示す一覧表である。本実施形態の第２ＥＣＵが実行する第４差分フラグを更新する制御処理を示すフローチャートである。本実施形態の第２ＥＣＵが実行するセンサ異常判定処理を示すフローチャートである。第２ＥＣＵが決定するブレーキペダルの操作量を示す一覧表である。

　本開示の一実施形態について図１～図１２に基づいて説明する。本開示のブレーキシステム１は、図２に示すブレーキペダル９１の操作量に基づいて車両のブレーキを制御するブレーキバイワイヤシステムである。ブレーキシステム１は、図１に示すように、車両を制動するブレーキ回路１０と、ブレーキ回路１０によって作動が制御されるホイールシリンダＷ１～Ｗ４とを備える。また、ブレーキシステム１は、図１および図２に示すように、ブレーキペダル９１を有するブレーキペダル装置９０と、ブレーキペダル９１の操作量を検出する第１センサ２１～第４センサ２４と、ブレーキ回路１０を駆動制御する電子制御装置３０とを備える。さらに、ブレーキシステム１は、ブレーキ回路１０および電子制御装置３０に電力を供給する電源部４０を有する。第１センサ２１～第４センサ２４は、ブレーキペダル装置９０に設けられる。以下、電子制御装置３０をＥＣＵ３０とも呼ぶ。ＥＣＵは、Electronic Control Unitの略である。なお、ＥＣＵは、ＢＣＵ（Brake Control Unit）と呼ばれることもある。

　ホイールシリンダＷ１～Ｗ４は、車両の各車輪にそれぞれ配置される。また、各ホイールシリンダＷ１～Ｗ４には、図示しないブレーキパッドが取り付けられている。

　ブレーキ回路１０は、種々の機構を採用することができる。例えば、本実施形態のブレーキ回路１０は、ホイールシリンダＷ１～Ｗ４にブレーキ液圧を発生させることで、車両を減速させる制動力を発生させる。なお、ブレーキ回路１０は、電動モータを駆動させてブレーキパッドをディスクブレーキロータに押し付けることで各車輪を制動する電動ブレーキを採用してもよい。ブレーキ回路１０は、ＥＣＵ３０からの制御信号に応じて、通常制御、ＡＢＳ制御およびＶＳＣ制御などを行うことも可能である。ＡＢＳはAnti-lock Braking Systemの略である。ＶＳＣはVehicle Stability Controlの略である。

　ブレーキ回路１０は、互いに独立して構成される第１ブレーキ回路１１および第２ブレーキ回路１２を有する。第１ブレーキ回路１１は、左前輪に配置される左前輪ホイールシリンダＷ１および右前輪に配置される右前輪ホイールシリンダＷ２にブレーキ液圧を発生させる。第２ブレーキ回路１２は、左後輪に配置される左後輪ホイールシリンダＷ３および右後輪に配置される右後輪ホイールシリンダＷ４にブレーキ液圧を発生させる。

　第１ブレーキ回路１１および第２ブレーキ回路１２は、電源部４０から駆動用の電力が供給される。また、第１ブレーキ回路１１および第２ブレーキ回路１２それぞれは、ＥＣＵ３０に接続され、ＥＣＵ３０から送信される制御信号によって制御される。

　電源部４０は、互いに独立して構成される第１電源部４１および第２電源部４２を有する。第１電源部４１は、第１ブレーキ回路１１に接続されており、第１ブレーキ回路１１に電力を供給する。第２電源部４２は、第２ブレーキ回路１２に接続されており、第２ブレーキ回路１２に電力を供給する。本実施形態のブレーキシステム１は、このように第１ブレーキ回路１１への電力供給源および第２ブレーキ回路１２への電力供給源を異なる構成とすることによって、ブレーキ回路１０への電力供給源を冗長化させている。

　ＥＣＵ３０は、制御処理や演算処理を行うプロセッサ、プログラムやデータ等を記憶するＲＯＭ、ＲＡＭ等の記憶部を含むマイクロコンピュータ、およびその周辺回路で構成されている。記憶部は、非遷移的実体的記憶媒体で構成されている。ＥＣＵ３０は、第１ＥＣＵ３１および第２ＥＣＵ３２を有する。第１ＥＣＵ３１および第２ＥＣＵ３２は、記憶部に記憶されたプログラムに基づいて各種制御処理および演算処理を行い、ブレーキ回路１０の作動を制御する。

　第１ＥＣＵ３１は、第１センサ２１、第２センサ２２および第４センサ２４それぞれから送信される検出信号を受信する３つの第１ＥＣＵ受信部３１１と、３つの第１ＥＣＵ受信部３１１それぞれが受信する検出信号を処理する第１ＥＣＵ処理部３１２を有する。また、第１ＥＣＵ３１は、第１ＥＣＵ３１とブレーキ回路１０との接続をオンオフする第１ＥＣＵスイッチ３１３を有する。第１ＥＣＵ３１は、３つの第１ＥＣＵ受信部３１１が互いに独立して設けられており、この３つの第１ＥＣＵ受信部３１１に第１センサ２１、第２センサ２２および第４センサ２４が直接接続されている。また、第１ＥＣＵ３１は、第１ＥＣＵスイッチ３１３を介して第１ブレーキ回路１１および第２ブレーキ回路１２が接続されている。第１ＥＣＵ３１は、第１電源部４１に接続されており、第１電源部４１から駆動用電力が供給される。本実施形態において、第１ＥＣＵ３１は、第１電子制御装置として機能する。

　第２ＥＣＵ３２は、第３センサ２３および第４センサ２４から送信される検出信号を受信する２つの第２ＥＣＵ受信部３２１と、２つの第２ＥＣＵ受信部３２１が受信する検出信号を処理する第２ＥＣＵ処理部３２２を有する。また、また、第２ＥＣＵ３２は、第２ＥＣＵ３２とブレーキ回路１０との接続をオンオフする第２ＥＣＵスイッチ３２３を有する。第２ＥＣＵ３２は、２つの第２ＥＣＵ受信部３２１が互いに独立して設けられており、この２つの第２ＥＣＵ受信部３２１に第３センサ２３および第４センサ２４が直接接続されている。また、第２ＥＣＵ３２は、第２ＥＣＵスイッチ３２３を介して第１ブレーキ回路１１および第２ブレーキ回路１２が接続されている。第２ＥＣＵ３２は、第２電源部４２に接続されており、第２電源部４２から駆動用電力が供給される。このように、第１ＥＣＵ３１および第２ＥＣＵ３２には、互いに異なる電源部４１、４２から駆動用電力が供給される。本実施形態において、第２ＥＣＵ３２は、第２電子制御装置として機能する。

　また、第１ＥＣＵ３１および第２ＥＣＵ３２は、相互通信可能に構成されている。第１ＥＣＵ３１は、第１ＥＣＵ処理部３１２の処理内容を第２ＥＣＵ３２に送信可能であるとともに、第２ＥＣＵ３２における第２ＥＣＵ処理部３２２の処理内容を受信可能に構成されている。これに対して、第２ＥＣＵ３２は、第２ＥＣＵ処理部３２２の処理内容を第１ＥＣＵ３１に送信可能であるとともに、第１ＥＣＵ３１における第１ＥＣＵ処理部３１２の処理内容を受信可能に構成されている。

　図２では、ブレーキペダル装置９０の一例として、ペンダント式のものを示している。ペンダント式のブレーキペダル装置９０とは、ブレーキペダル９１のうち運転者に踏込操作されるペダル９１１が搖動の軸心ＣＬに対して車両搭載時の天地方向における下方に配置されるものである。なお、図２に記載した矢印は、ブレーキペダル装置９０が車両に搭載された状態の上下方向を示すものである。

　ブレーキペダル装置９０は、ブレーキペダル９１、ハウジング９２などを備えている。ハウジング９２は、不図示のボルトなどによりダッシュパネルに固定される。ブレーキペダル９１は、板状に形成され、車両のフロアに対して斜めに配置されている。具体的には、ブレーキペダル９１は、その上端部が車両前方となり、下端部が車両後方となるように斜めに配置されている。ブレーキペダル９１のうち下側の部位には、運転者に踏込操作されるペダル９１１が設けられている。

　ブレーキペダル９１は、ハウジング９２の内側に設けられた不図示の回転軸に固定されている。このため、ブレーキペダル９１は、ハウジング９２内に設けられた回転軸の所定の軸心ＣＬまわりに搖動可能に設けられる。なお、本明細書において、搖動とは、所定の軸心ＣＬまわりに所定角度範囲で正方向および逆方向に回転動作することをいう。

　なお、図２において図示は省略するが、ハウジング９２の内側には、運転者がブレーキペダル９１に印加する踏力に対する反力を発生させる反力発生機構などが設けられている。

　図１に示す第１センサ２１～第４センサ２４は、ブレーキペダル装置９０に設けられ、運転者に踏込操作されるブレーキペダル９１の操作量を検出し、検出した操作量に応じた検出信号を生成してＥＣＵ３０へ出力する。

　第１センサ２１は、自身のセンサ内で生成されたセンサ出力信号を送信する第１センサ送信部２１１を有する。第１センサ送信部２１１は、第１ＥＣＵ受信部３１１に接続されている。第１センサ２１は、生成した検出信号を第１センサ送信部２１１から第１ＥＣＵ受信部３１１に送信する。

　第２センサ２２は、自身のセンサ内で生成されたセンサ出力信号を送信する第２センサ送信部２２１を有する。第２センサ送信部２２１は、第１ＥＣＵ受信部３１１に接続されている。第２センサ２２は、生成した検出信号を第２センサ送信部２２１から第１ＥＣＵ受信部３１１に送信する。

　第３センサ２３は、自身のセンサ内で生成されたセンサ出力信号を送信する第３センサ送信部２３１を有する。第３センサ送信部２３１は、第２ＥＣＵ受信部３２１に接続されている。第３センサ２３は、生成した検出信号を第３センサ送信部２３１から第２ＥＣＵ受信部３２１に送信する。

　第４センサ２４は、自身のセンサ内で生成されたセンサ出力信号を送信する２つの第４センサ送信部２４１を有する。２つの第４センサ送信部２４１は、一方が第１ＥＣＵ受信部３１１に接続されており、他方が第２ＥＣＵ受信部３２１に接続されている。第４センサ２４は、自身のセンサ内で生成された１つの検出信号をセンサ内の集積回路で複製することで２つに分配し、２つの検出信号を生成する。この２つの検出信号は同一の信号である。そして、第４センサ２４は、生成した２つの検出信号のうち一方の検出信号を一方の第４センサ送信部２４１から第１ＥＣＵ受信部３１１に送信する。また、第４センサ２４は、生成した２つの検出信号のうち他方の検出信号を他方の第４センサ送信部２４１から第２ＥＣＵ受信部３２１に送信する。

　第１センサ２１～第４センサ２４は、一意の比較可能な物理量を検出可能なセンサであれば、それぞれ異なる物理量を検出するセンサを採用してもよい。なお、本実施形態では、冗長性の観点から、第１センサ２１～第４センサ２４は、ペダル操作量として、３種の物理量（例えば、ペダル揺動角と、ペダルストローク量と、ペダル圧力）をそれぞれ異なる検出方式で検出するセンサが採用されている。具体的には、ペダル揺動角を検出するセンサとして、例えば、ホール素子または磁気抵抗素子などを用いた磁気センサが採用される。ペダルストローク量を検出するセンサとして、例えば、インダクティブセンサが採用される。ブレーキペダル９１が踏込操作される際の圧力を検出するセンサとして、例えば、圧力センサが採用される。例えば、第１センサ２１が磁気センサで構成される場合、ハウジング９２の内部に配置される。例えば、第２センサ２２がインダクティブセンサで構成される場合、ハウジング９２の外部に配置される。例えば、第４センサ２４が圧力センサで構成される場合、ペダル９１１の内部に配置される。

　そして、第１ＥＣＵ３１に接続される第１センサ２１、第２センサ２２および第４センサ２４は、互いに異なる検出方式で検出する３つのセンサが組み合わされて構成されている。換言すれば、第１ＥＣＵ３１に接続される第１センサ２１、第２センサ２２および第４センサ２４は、互いに異なる検出方式で検出するセンサを少なくとも２つ含んでいる。さらに、第２ＥＣＵ３２に接続される第３センサ２３および第４センサ２４は、互いに異なる検出方式で検出する２つのセンサが組み合わされて構成されている。例えば、第３センサ２３は、第１センサ２１と同じ磁気センサで構成されてもよく、この場合、ハウジング９２の内部に配置される。

　なお、第１センサ２１～第４センサ２４の種類は、上記のものに限らず、例えば、光電センサ、歪みセンサなど、種々のものを採用することが可能である。また、第１センサ２１～第４センサ２４の呼称は、ブレーキペダル装置９０への搭載位置や種類などを限定するものではない。第１ＥＣＵ３１および第２ＥＣＵ３２の呼称も、搭載位置などを限定するものではない。

　第１センサ２１～第４センサ２４と第１ＥＣＵ３１および第２ＥＣＵ３２とのとの通信方式として、アナログ通信、デジタル通信、光通信などを採用することができる。デジタル通信として、ＳＰＩ、Ｉ２Ｃ、ＵＡＲＴ、ＳＥＮＴなどが例示される。ＳＰＩは、Serial Peripheral Interface の略である。Ｉ２Ｃは、Inter-Integrated Circuit の略である。ＵＡＲＴは、Universal Asynchronous Receiver/Transmitter の略である。ＳＥＮＴは、Single Edge Nibble Transmission の略である。

　なお、第１センサ２１および第２センサ２２は、第１ＥＣＵ３１から電源が供給されて動作する。また、第３センサ２３および第４センサ２４は、第２ＥＣＵ３２から電源が供給されて動作する。そして、第４センサ２４は、第１ＥＣＵ３１が故障しても、第２ＥＣＵ３２から電源が供給されるため動作を続けることが可能であるが、第２ＥＣＵ３２が故障して第２ＥＣＵ３２からの電源供給が停止すると、動作を続けることが不可能となる。本実施形態では、第１センサ２１および第２センサ２２は、第１ＥＣＵ３１から５Ｖの電圧が印加される。また、第３センサ２３および第４センサ２４は、第２ＥＣＵ３２から５Ｖの電圧が印加される。

　続いて、図３～図１２を参照して、本実施形態の第１ＥＣＵ３１および第２ＥＣＵ３２によって制御されるブレーキシステム１の作動について説明する。運転者によってブレーキペダル９１が踏込操作されると、第１センサ２１～第４センサ２４それぞれは、ブレーキペダル９１の操作量を検出し、検出した操作量に応じた検出信号を生成して自身が接続された第１ＥＣＵ３１および第２ＥＣＵ３２へ出力する。

　具体的に、第１センサ２１は、検出したブレーキペダル９１の操作量に応じた検出信号を第１ＥＣＵ３１の第１ＥＣＵ受信部３１１へ出力する。第２センサ２２は、検出したブレーキペダル９１の操作量に応じた検出信号を第１ＥＣＵ３１の第１ＥＣＵ受信部３１１へ出力する。第３センサ２３は、検出したブレーキペダル９１の操作量に応じた検出信号を第２ＥＣＵ３２の第２ＥＣＵ受信部３２１へ出力する。第４センサ２４は、検出したブレーキペダル９１の操作量に応じた検出信号を第１ＥＣＵ３１の第１ＥＣＵ受信部３１１および第２ＥＣＵ３２の第２ＥＣＵ受信部３２１へ出力する。

　第１ＥＣＵ３１および第２ＥＣＵ３２は、第１センサ２１～第４センサ２４それぞれからからブレーキペダル９１の操作量に応じた検出信号が入力されると、入力された検出信号に基づいて、後述の目標減速度決定処理において車両の目標減速度を算出する。そして、第１ＥＣＵ３１および第２ＥＣＵ３２は、算出した目標減速度の情報を第１ブレーキ回路１１および第２ブレーキ回路１２に出力することで、第１ブレーキ回路１１および第２ブレーキ回路１２を制御する。

　第１ブレーキ回路１１は、目標減速度の情報が入力されると、目標減速度に応じたブレーキ液圧を左前輪ホイールシリンダＷ１および右前輪ホイールシリンダＷ２に発生させる。また、第２ブレーキ回路１２は、目標減速度の情報が入力されると、目標減速度に応じたブレーキ液圧を左後輪ホイールシリンダＷ３および右後輪ホイールシリンダＷ４に発生させる。これにより、ブレーキシステム１は、車両を減速させるための制動力を左前輪、右前輪、左後輪および右後輪に発生させる。

　続いて、目標減速度決定処理について説明する。第１ＥＣＵ３１および第２ＥＣＵ３２は、例えば、車両のイグニッションスイッチまたは電源スイッチなどの走行スイッチがオンされると、制御処理を開始する。そして、第１ＥＣＵ３１は、第１センサ２１、第２センサ２２および第４センサ２４が送信する検出信号を受信すると、目標減速度決定処理において、図３および図４に示す制御処理を所定の制御周期毎に繰り返し実行する。また、第２ＥＣＵ３２は、第２センサ２２および第４センサ２４が送信する検出信号を受信すると、目標減速度決定処理において、後述の図１０および図１１に示す制御処理を所定の制御周期毎に繰り返し実行する。以下、第１センサ２１が送信する検出信号を第１信号Ｓ１、第２センサ２２が送信する検出信号を第２信号Ｓ２、第３センサ２３が送信する検出信号を第３信号Ｓ３、第４センサ２４が送信する検出信号を第４信号Ｓ４とも呼ぶ。

　ところで、本実施形態のブレーキシステム１では、ＥＣＵ３０が第１ＥＣＵ３１および第２ＥＣＵ３２を備える構成によって、システムとしての冗長性を確保している。すなわち、本実施形態のブレーキシステム１は、第１ＥＣＵ３１によって目標減速度が算出可能であるとともに、第２ＥＣＵ３２によって目標減速度を算出可能に構成されている。このため、例えば第１ＥＣＵ３１が故障することで目標減速度を算出できない場合、第２ＥＣＵ３２によって目標減速度を算出することができる。ただし、第１ＥＣＵ３１および第２ＥＣＵ３２は、接続されるセンサの数が多い第１ＥＣＵ３１が主要側の制御装置として設定されており、第２ＥＣＵ３２が予備側の制御装置として設定されている。このため、第１ＥＣＵ３１および第２ＥＣＵ３２のいずれも正常に目標減速度を算出可能である場合、第１ＥＣＵ３１がブレーキシステム１の制御主導権を保持しており、第１ＥＣＵ３１によって目標減速度が算出される。

　まず、第１ＥＣＵ３１が実行する制御処理について説明する。最初に、ステップＳ１０において、第１ＥＣＵ３１は、自身の動作状態が正常状態か異常状態かを判定する。正常状態とは、第１ＥＣＵ３１が第１信号Ｓ１、第２信号Ｓ２および第４信号Ｓ４を正常に受信可能であって、第１センサ２１および第２センサ２２へ正常に電源を供給可能である状態である。

　また、正常状態とは、第１信号Ｓ１、第２信号Ｓ２および第４信号Ｓ４を受信した際に、第１ＥＣＵ処理部３１２が第１信号Ｓ１、第２信号Ｓ２および第４信号Ｓ４に基づいて正常な処理動作を可能な状態である。これに対して、異常状態とは、第１信号Ｓ１、第２信号Ｓ２および第４信号Ｓ４の受信が不可能、第１センサ２１および第２センサ２２へ電源を供給不可能、第１ＥＣＵ処理部３１２が正常に動作不可能のいずれか１つまたは複数が組み合わされた状態である。ステップＳ１１において、第１ＥＣＵ３１は、判定した自身の動作状態の情報を第２ＥＣＵ３２へ出力する。また、ステップＳ１２において、第１ＥＣＵ３１は、後述する第２ＥＣＵ３２の制御処理において判定される第２ＥＣＵ３２の動作状態の情報を第２ＥＣＵ３２から取得する。

　第１ＥＣＵ３１が正常状態である場合、ステップＳ１３において、第１ＥＣＵ３１は、第１センサ２１から送信される第１信号Ｓ１と、第２センサ２２から送信される第２信号Ｓ２と、第４センサ２４から送信される第４信号Ｓ４とを取得する。なお、図示しないが、第１ＥＣＵ３１が異常状態である場合、ステップＳ１３以降の処理を全てスキップする。

　第１ＥＣＵ３１は、第１信号Ｓ１、第２信号Ｓ２および第４信号Ｓ４を取得すると、ステップＳ１４において、第１ＥＣＵ処理部３１２が第１信号Ｓ１、第２信号Ｓ２および第４信号Ｓ４それぞれに基づいて、ブレーキペダル９１の操作量を算出する。具体的に、第１ＥＣＵ処理部３１２は、第１信号Ｓ１を取得すると、この第１信号Ｓ１および予め定められた制御マップに基づいて、第１センサ２１が検出したブレーキペダル９１の操作量を算出する。また、第１ＥＣＵ処理部３１２は、第２信号Ｓ２を取得すると、この第２信号Ｓ２および予め定められた制御マップに基づいて、第２センサ２２が検出したブレーキペダル９１の操作量を算出する。さらに、第１ＥＣＵ処理部３１２は、第４信号Ｓ４を取得すると、この第４信号Ｓ４および予め定められた制御マップに基づいて、第４センサ２４が検出したブレーキペダル９１の操作量を算出する。

　以下、第１信号Ｓ１に基づいて算出されるブレーキペダル９１の操作量を第１操作量Ｆｓ１、第２信号Ｓ２に基づいて算出されるブレーキペダル９１の操作量を第２操作量Ｆｓ２とも呼ぶ。また、第４信号Ｓ４に基づいて算出されるブレーキペダル９１の操作量を第４操作量Ｆｓ４とも呼ぶ。そして、後述するように、第２ＥＣＵ３２が第３信号Ｓ３に基づいて算出するブレーキペダル９１の操作量を第３操作量Ｆｓ３とも呼ぶ。

　ステップＳ１５において、第１ＥＣＵ処理部３１２は、算出した第１操作量Ｆｓ１と、第２操作量Ｆｓ２と、第４操作量Ｆｓ４とに基づいて、第１ＥＣＵ３１に接続された第１センサ２１、第２センサ２２および第４センサ２４に故障が含まれるか否かの判定を行う。すなわち、第１ＥＣＵ処理部３１２は、第１ＥＣＵ３１に接続される第１センサ２１、第２センサ２２および第４センサ２４のうち、全てのセンサが正常状態であるか、および異常状態であるセンサが１つであるか複数であるかを検出する。また、第１ＥＣＵ処理部３１２は、異常状態であるセンサが１つである場合、異常状態である１つのセンサを検出し、異常状態であるセンサが複数である場合、異常状態の可能性があるセンサを検出する。

　具体的には、ステップＳ１５において、第１ＥＣＵ処理部３１２は、第１操作量Ｆｓ１および第２操作量Ｆｓ２が正常か異常かを判定するとともに、第１操作量Ｆｓ１と第２操作量Ｆｓ２との差分値である第１差分値Δｓ１が許容誤差より小さいか否かを判定する。第１操作量Ｆｓ１および第２操作量Ｆｓ２は、例えば、予め想定される操作量の最小値以上、且つ、予め想定される想定量の最大値以下である場合に正常と判定される。これに対して、第１操作量Ｆｓ１および第２操作量Ｆｓ２は、例えば、予め想定される操作量の最小値より小さい、または、予め想定される想定量の最大値より大きい場合に異常と判定される。なお、後述する第３操作量Ｆｓ３および第４操作量Ｆｓ４が正常か異常かも同様に判定される。

　また、第１差分値Δｓ１は、第１操作量Ｆｓ１から第２操作量Ｆｓ２を減算して得らえる値であって、絶対値として算出される。第１差分値Δｓ１の許容誤差は、例えば、第１センサ２１自体の検出誤差と第２センサ２２センサ自体の検出誤差が重なる範囲で定められる。

　なお、後述する第１操作量Ｆｓ１と第４操作量Ｆｓ４との差分値である第２差分値Δｓ２、第２操作量Ｆｓ２と第４操作量Ｆｓ４との差分値である第３差分値Δｓ３も同様の算出方法によって得られる。第３操作量Ｆｓ３と第４操作量Ｆｓ４との差分値である第４差分値Δｓ４も同様の算出方法によって得られる。また、第２差分値Δｓ２の許容誤差は、例えば、第１センサ２１自体の検出誤差と第４センサ２４センサ自体の検出誤差が重なる範囲で定められる。第３差分値Δｓ３の許容誤差は、例えば、第２センサ２２および第４センサ２４それぞれのセンサ自体の検出誤差によって定められる。第４差分値Δｓ４の許容誤差は、例えば、第３センサ２３自体の検出誤差と第４センサ２４センサ自体の検出誤差が重なる範囲で定められる。

　第１操作量Ｆｓ１が異常でない、且つ、第２操作量Ｆｓ２が異常でない、且つ、第１差分値Δｓ１が許容誤差より小さい場合、ステップＳ１６において、第１ＥＣＵ処理部３１２は、第１差分値Δｓ１が正常か異常かを示す第１差分フラグを正常にする。これに対して、第１操作量Ｆｓ１が異常である、第２操作量Ｆｓ２が異常である、第１差分値Δｓ１が許容誤差以上、の少なくとも１つが該当する場合、ステップＳ１７において、第１ＥＣＵ処理部３１２は、第１差分フラグを異常にする。

　続いて、ステップＳ１８において、第１ＥＣＵ処理部３１２は、第１操作量Ｆｓ１および第４操作量Ｆｓ４が正常か異常かを判定するとともに、第２差分値Δｓ２が許容誤差より小さいか否かを判定する。

　第１操作量Ｆｓ１が異常でない、且つ、第４操作量Ｆｓ４が異常でない、且つ、第２差分値Δｓ２が許容誤差より小さい場合、ステップＳ１９において、第１ＥＣＵ処理部３１２は、第２差分値Δｓ２が正常か異常かを示す第２差分フラグを正常にする。これに対して、第１操作量Ｆｓ１が異常である、第４操作量Ｆｓ４が異常状態である、第２差分値Δｓ２が許容誤差以上、の少なくとも１つが該当する場合、ステップＳ２０において、第１ＥＣＵ処理部３１２は、第２差分フラグを異常にする。

　続いて、ステップＳ２１において、第１ＥＣＵ処理部３１２は、第２操作量Ｆｓ２および第４操作量Ｆｓ４が正常か異常かを判定するとともに、第３差分値Δｓ３が許容誤差より小さいか否かを判定する。

　第２操作量Ｆｓ２が異常でない、且つ、第４操作量Ｆｓ４が異常でない、且つ、第３差分値Δｓ３が許容誤差より小さい場合、ステップＳ２２において、第１ＥＣＵ処理部３１２は、第３差分値Δｓ３が正常か異常かを示す第３差分フラグを正常にする。これに対して、第２操作量Ｆｓ２が異常である、第４操作量Ｆｓ４が異常である、第３差分値Δｓ３が許容誤差以上、の少なくとも１つが該当する場合、ステップＳ２３において、第１ＥＣＵ処理部３１２は、第３差分フラグを異常にする。

　なお、第１差分値Δｓ１、第２差分値Δｓ２、第３差分値Δｓ３が許容誤差より小さいか否かを判定するためのそれぞれの許容誤差は、互いに異なる大きさであってもよいし、同じ大きさであってもよい。例えば、第１差分値Δｓ１が許容誤差より小さいか否かを判定するための許容誤差と第２差分値Δｓ２が許容誤差より小さいか否かを判定するための許容誤差とは互いに異なる大きさであってもよいし、同じ大きさであってもよい。また、第２差分値Δｓ２が許容誤差より小さいか否かを判定するための許容誤差と第３差分値Δｓ３が許容誤差より小さいか否かを判定するための許容誤差とは互いに異なる大きさであってもよいし、同じ大きさであってもよい。

　第１ＥＣＵ処理部３１２は、ステップＳ１０～ステップＳ２３において、第１差分フラグ、第２差分フラグ、第３差分フラグそれぞれの状態を更新すると、多数決判定処理を行う。多数決判定処理は、第１操作量Ｆｓ１、第２操作量Ｆｓ２および第４操作量Ｆｓ４それぞれに対して目標減速度を算出するために用いることが可能か否かを判定する処理である。換言すれば、多数決判定処理は、第１ＥＣＵ３１に接続される第１センサ２１、第２センサ２２および第４センサ２４内に、正常状態であるセンサが存在することを確認できるか否かを判定する処理である。

　具体的に、ステップＳ３０において、第１差分フラグ、第２差分フラグおよび第３差分フラグが正常であるか否かを判定する。ここで、第１操作量Ｆｓ１と、第２操作量Ｆｓ２と、第４操作量Ｆｓ４とがそれぞれ比較的近い値であって、第１差分フラグ、第２差分フラグおよび第３差分フラグの全てが正常である場合の一例を図５に示す。なお、図５の横軸は、第１センサ２１、第２センサ２２および第４センサ２４それぞれを示す。縦軸は、第１センサ２１、第２センサ２２および第４センサ２４それぞれから送信される検出信号に基づいて算出されるブレーキペダル９１の操作量を示す。なお、このような縦軸および横軸が示すものは、後述の説明で参照する図６～図８でも同様である。

　ところで、本実施形態では、第１ＥＣＵ３１に接続される第１センサ２１、第２センサ２２および第４センサ２４は、互いに異なる検出方式でブレーキペダル９１の操作量を検出する３つのセンサが組み合わされて構成されている。このため、互いに検出方式が異なる３つの第１センサ２１、第２センサ２２および第４センサ２４が、外部要因によって、同時に故障する可能性が比較的低い。

　ここで、第１操作量Ｆｓ１、第２操作量Ｆｓ２および第４操作量Ｆｓ４それぞれの値が比較的近い値や略同様の値であって第１差分フラグ、第２差分フラグおよび第３差分フラグの全てが正常であるとする。この場合、第１センサ２１、第２センサ２２および第４センサ２４それぞれは、故障していない可能性が高い。すなわち、第１センサ２１、第２センサ２２および第４センサ２４それぞれは正常状態である可能性が高い。そして、これら正常状態である第１センサ２１、第２センサ２２および第４センサ２４から送信される検出信号に基づいて算出される第１操作量Ｆｓ１、第２操作量Ｆｓ２、第３操作量Ｆｓ３それぞれは、正常値である可能性が高い。

　このため、ステップＳ３０において、第１ＥＣＵ処理部３１２は、第１差分フラグ、第２差分フラグおよび第３差分フラグの全てが正常である場合、第１ＥＣＵ３１に接続される第１センサ２１、第２センサ２２および第４センサ２４の全てが正常であると判定する。すなわち、第１ＥＣＵ処理部３１２は、第１ＥＣＵ３１に接続される第１センサ２１、第２センサ２２および第４センサ２４内に正常状態であるセンサが存在すると判定するとともに、正常状態であるセンサを特定する。そして、ステップＳ３１において、第１ＥＣＵ処理部３１２は、多数決判定処理結果を示す多数決フラグにおいて、接続される全てのセンサが正常であることを示す正常にし、多数決フラグが正常である情報を第２ＥＣＵ３２に送信する。

　そして、ステップＳ３２において、第１ＥＣＵ処理部３１２は、第１センサ２１、第２センサ２２および第４センサ２４のうち、正常状態と判定されたセンサから送信される検出信号に基づいて、ブレーキ制御指令値となるブレーキペダル９１の操作量を決定する。本実施形態では、正常と判定されたセンサが複数存在する場合、正常と判定された複数のセンサのうち、予め定められる優先度が最も高いセンサから送信される検出信号に基づいて、ブレーキペダル９１の操作量を決定する。例えば、本実施形態の優先度は、互いに異なる検出方式でブレーキペダル９１の操作量を検出する第１センサ２１、第２センサ２２、第４センサ２４のうち、検出精度が高いと想定される順に、第１センサ２１、第２センサ２２、第４センサ２４となっている。

　このため、ステップＳ３１で多数決フラグが正常とされた場合、ステップＳ３２において、第１ＥＣＵ処理部３１２は、ブレーキペダル９１の操作量を第１センサ２１が検出する操作量に基づいて算出される第１操作量Ｆｓ１に決定する。そして、第１ＥＣＵ処理部３１２は、決定したブレーキペダル９１の操作量である第１操作量Ｆｓ１および予め定められた制御マップに基づいて、車両の目標減速度を算出する。

　なお、ブレーキペダル９１の操作量を決定する優先度は、この順に限定されず、第１センサ２１、第２センサ２２、第４センサ２４の順とは異なる順に、例えば、第２センサ２２、第４センサ２４、第１センサ２１の順に定められてもよい。また、ブレーキペダル９１の操作量を決定する優先度は、第４センサ２４、第１センサ２１、第２センサ２２の順や、第１センサ２１、第４センサ２４、第２センサ２２の順等に定められてもよい。

　また、ブレーキペダル９１の操作量を決定する優先度は、検出精度が高いと想定される順とは異なる順であって、例えば、故障発生頻度の低いと想定される順、外部環境からの影響を受け難い順等に設定されてもよい。

　また、ブレーキペダル９１の操作量は、センサの優先度とは異なる方法で決定してもよい。例えば、ブレーキペダル９１の操作量は、正常状態と判定されたセンサそれぞれから送信される検出信号に基づいて算出される操作量のうち、最大値に決定されてもよいし、最小値に決定されてもよい。また、ブレーキペダル９１の操作量は、第１センサ２１、第２センサ２２および第４センサ２４の全てが正常状態である場合、全てのセンサそれぞれから送信される検出信号から算出される操作量のうち、最大値および最小値と異なる値に決定されてもよい。

　例えば、ブレーキペダル９１の操作量は、正常状態と判定されたセンサそれぞれから送信される検出信号および予め定められる関数に基づいて決定されてもよい。関数を用いる一例として、ブレーキペダル９１の操作量は、正常状態と判定されたセンサそれぞれから送信される検出信号に基づいて算出される操作量の平均値に決定されてもよい。また、ブレーキペダル９１の操作量は、正常状態と判定されたセンサそれぞれから送信される検出信号に基づいて算出される操作量のうち、最大値および最小値を検出するセンサとは異なるセンサが検出する操作量に基づいて決定されてもよい。

　また、本実施形態の第１ＥＣＵ３１および第２ＥＣＵ３２は、接続されるセンサの数が多い第１ＥＣＵ３１が主要側の制御装置で設定されており、第２ＥＣＵ３２が予備側の制御装置で設定されている。このため、第１ＥＣＵ３１側で車両の目標減速度を算出可能である場合、車両の目標減速度は、第１ＥＣＵ３１で算出された目標減速度に設定される。そして、第１ＥＣＵ３１は、第１ＥＣＵスイッチ３１３によって第１ブレーキ回路１１および第２ブレーキ回路１２との接続がオンされる。また、第２ＥＣＵ３２は、第２ＥＣＵスイッチ３２３によって第１ブレーキ回路１１および第２ブレーキ回路１２との接続がオフされる。そして、第１ＥＣＵ３１は、ステップＳ３２において算出した目標減速度の情報を第１ブレーキ回路１１および第２ブレーキ回路１２に出力することで、第１ブレーキ回路１１および第２ブレーキ回路１２を制御する。

　ステップＳ３０で第１差分フラグ、第２差分フラグおよび第３差分フラグの全てが正常であると判定されない場合、第１ＥＣＵ処理部３１２は、ステップＳ３３の処理を実行する。

　ステップＳ３３において、第１ＥＣＵ処理部３１２は、第１差分フラグが異常、且つ、第２差分フラグが異常、且つ、第３差分フラグが正常であるか否かを判定する。ここで、第２操作量Ｆｓ２および第４操作量Ｆｓ４が互いに比較的近い値で第３差分値Δｓ３が許容誤差より小さい場合の一例を図６に示す。この図６に示す例では、第１操作量Ｆｓ１の値が第２操作量Ｆｓ２および第４操作量Ｆｓ４それぞれの値から比較的大きく乖離しており、第１差分値Δｓ１および第２差分値Δｓ２それぞれが許容誤差以上である。このような場合に、第１差分フラグおよび第２差分フラグが異常、且つ、第３差分フラグが正常となる。

　そして、このような、３つの操作量のうち、２つの操作量が比較的近い値や略同様の値であって、残り１つの操作量が２つの操作量から大きく乖離している場合、第１センサ２１、第２センサ２２および第４センサ２４のいずれか１つが故障している可能性が高い。そして、２つのセンサは故障していない可能性が高い。すなわち、第１センサ２１、第２センサ２２および第４センサ２４のうち２つのセンサは正常状態であって、これら正常状態である２つのセンサから送信される検出信号に基づいて算出されるブレーキペダル９１の操作量それぞれは、正常値である可能性が高い。これに対して、残り１つのセンサは異常状態であって、この異常状態である残り１つのセンサから送信される検出信号に基づいて算出されるブレーキペダル９１の操作量は、異常値である可能性が高い。

　このため、第１ＥＣＵ処理部３１２は、第１差分フラグ、第２差分フラグ、第３差分フラグのうち、２つの差分フラグが異常である場合、第１ＥＣＵ３１に接続される第１センサ２１、第２センサ２２、第４センサ２４のいずれか１つが異常状態であると判定する。具体的に、第１ＥＣＵ処理部３１２は、異常である２つの差分フラグを算出するために用いられる共通の操作量を検出したセンサが異常状態であると判定する。そして、異常状態であると判定されないかったセンサが正常状態であると判定する。

　すなわち、第１ＥＣＵ処理部３１２は、第１ＥＣＵ３１に接続される第１センサ２１、第２センサ２２および第４センサ２４内に正常状態であるセンサが存在すると判定するとともに、正常状態であるセンサを特定する。例えば、図６に示す一例では、第１ＥＣＵ処理部３１２は、異常である第１差分フラグおよび第２差分フラグを算出するために用いられる第１操作量Ｆｓ１を検出した第１センサ２１が異常状態であると判定する。また、第１ＥＣＵ処理部３１２は、第２センサ２２および第４センサ２４が正常状態であると判定する。

　そして、ステップＳ３４において、多数決フラグを第１センサ２１が異常状態であることを示す第１センサ異常にし、多数決フラグが第１センサ異常である情報を第２ＥＣＵ３２に送信する。

　そして、ステップＳ３５において、第１ＥＣＵ処理部３１２は、第１センサ２１、第２センサ２２、第４センサ２４のうち、正常状態と判定された第２センサ２２および第４センサ２４から送信される検出信号に基づいて、ブレーキペダル９１の操作量を決定する。具体的に、第１ＥＣＵ処理部３１２は、予め定められる優先度に基づいて、ブレーキペダル９１の操作量を第２操作量Ｆｓ２に決定する。

　そして、第１ＥＣＵ処理部３１２は、決定したブレーキペダル９１の操作量である第２操作量Ｆｓ２および予め定められた制御マップに基づいて、車両の目標減速度を算出する。そして、第１ＥＣＵ３１は、第１ＥＣＵスイッチ３１３によって第１ブレーキ回路１１および第２ブレーキ回路１２との接続がオンされる。また、第２ＥＣＵ３２は、第２ＥＣＵスイッチ３２３によって第１ブレーキ回路１１および第２ブレーキ回路１２との接続がオフされる。そして、第１ＥＣＵ３１は、算出した目標減速度の情報を第１ブレーキ回路１１および第２ブレーキ回路１２に出力することで、第１ブレーキ回路１１および第２ブレーキ回路１２を制御する。

　また、ステップＳ３３で第１差分フラグが異常、且つ、第２差分フラグが異常、且つ、第３差分フラグが正常であると判定されない場合、第１ＥＣＵ処理部３１２は、ステップＳ３６の処理を実行する。

　ステップＳ３６において、第１ＥＣＵ処理部３１２は、第１差分フラグが異常、且つ、第３差分フラグが異常、且つ、第２差分フラグが正常であるか否かを判定する。第１差分フラグが異常、且つ、第３差分フラグが異常、且つ、第２差分フラグが正常である場合、第１ＥＣＵ処理部３１２は、第１差分フラグおよび第３差分フラグを算出するために用いる第２操作量Ｆｓ２を検出した第２センサ２２が異常状態であると判定する。また、第１ＥＣＵ処理部３１２は、第１センサ２１および第４センサ２４が正常状態であると判定する。

　すなわち、第１ＥＣＵ処理部３１２は、第１ＥＣＵ３１に接続される第１センサ２１、第２センサ２２および第４センサ２４内に正常状態であるセンサが存在すると判定するとともに、正常状態であるセンサを特定する。

　そして、ステップＳ３７において、多数決判定処理を示す多数決フラグを第２センサ２２が異常状態であることを示す第２センサ異常にし、多数決フラグが第２センサ異常である情報を第２ＥＣＵ３２に送信する。

　そして、ステップＳ３８において、第１ＥＣＵ処理部３１２は、第１センサ２１、第２センサ２２、第４センサ２４のうち、正常状態と判定された第１センサ２１および第４センサ２４から送信される検出信号に基づいて、ブレーキペダル９１の操作量を決定する。具体的に、第１ＥＣＵ処理部３１２は、予め定められる優先度に基づいて、ブレーキペダル９１の操作量を第１操作量Ｆｓ１に決定する。

　そして、第１ＥＣＵ処理部３１２は、決定したブレーキペダル９１の操作量である第１操作量Ｆｓ１および予め定められた制御マップに基づいて、車両の目標減速度を算出する。そして、第１ＥＣＵ３１は、第１ＥＣＵスイッチ３１３によって第１ブレーキ回路１１および第２ブレーキ回路１２との接続がオンされる。また、第２ＥＣＵ３２は、第２ＥＣＵスイッチ３２３によって第１ブレーキ回路１１および第２ブレーキ回路１２との接続がオフされる。そして、第１ＥＣＵ３１は、算出した目標減速度の情報を第１ブレーキ回路１１および第２ブレーキ回路１２に出力することで、第１ブレーキ回路１１および第２ブレーキ回路１２を制御する。

　また、ステップＳ３６で第１差分フラグが異常、且つ、第３差分フラグが異常、且つ、第２差分フラグが正常であると判定されない場合、第１ＥＣＵ処理部３１２は、ステップＳ３９の処理を実行する。

　ステップＳ３９において、第１ＥＣＵ処理部３１２は、第２差分フラグが異常、且つ、第３差分フラグが異常、且つ、第１差分フラグが正常であるか否かを判定する。第２差分フラグが異常、且つ、第３差分フラグが異常、且つ、第１差分フラグが正常である場合、第１ＥＣＵ処理部３１２は、第２差分フラグおよび第３差分フラグを算出するために用いる第４操作量Ｆｓ４を検出した第４センサ２４が異常状態であると判定する。また、第１ＥＣＵ処理部３１２は、第１センサ２１および第２センサ２２が正常状態であると判定する。

　そして、ステップＳ４０において、多数決フラグを第４センサ２４が異常状態であることを示す第４センサ異常にし、多数決フラグが第４センサ異常である情報を第２ＥＣＵ３２に送信する。

　そして、ステップＳ４１において、第１ＥＣＵ処理部３１２は、第１センサ２１、第２センサ２２、第４センサ２４のうち、正常状態と判定された第１センサ２１および第２センサ２２から送信される検出信号に基づいて、ブレーキペダル９１の操作量を決定する。具体的に、第１ＥＣＵ処理部３１２は、予め定められる優先度に基づいて、ブレーキペダル９１の操作量を第１操作量Ｆｓ１に決定する。

　また、ステップＳ３９で第２差分フラグが異常、且つ、第３差分フラグが異常、且つ、第１差分フラグが正常であると判定されない場合、第１ＥＣＵ処理部３１２は、ステップＳ４２の処理を実行する。ステップＳ４２の処理は、第１差分フラグ、第２差分フラグ、第３差分フラグのうちの３つの差分フラグの全てが異常、または、いずれか２つの差分フラグが異常である場合に実行される。

　ここで、第１操作量Ｆｓ１、第２操作量Ｆｓ２および第４操作量Ｆｓ４それぞれが互いに比較的大きく乖離しており、第１差分値Δｓ１、第２差分値Δｓ２、第３差分値Δｓ３の全てが許容誤差以上である場合の一例を図７に示す。このような場合に、第１差分フラグ、第２差分フラグおよび第３差分フラグの全てが異常となる。

　このような、３つの操作量それぞれが互いに大きく乖離している場合、第１センサ２１、第２センサ２２および第４センサ２４のうち、全てのセンサ、または、いずれか２つのセンサが故障している可能性が高い。すなわち、第１センサ２１、第２センサ２２および第４センサ２４のうち全てのセンサまたは２つのセンサは異常状態である可能性が高い。

　仮に、第１センサ２１、第２センサ２２および第４センサ２４のうち全てが異常状態である場合、これら異常状態である３つのセンサから送信される検出信号に基づいて算出されるブレーキペダル９１の操作量は、異常値である可能性が高い。

　また、第１センサ２１、第２センサ２２および第４センサ２４のうち２つのセンサが異常状態である場合、正常状態である１つのセンサから送信される検出信号に基づいて算出されるブレーキペダル９１の操作量は、正常値である可能性が高い。しかし、このような第１操作量Ｆｓ１、第２操作量Ｆｓ２および第４操作量Ｆｓ４それぞれの値が互いに比較的大きく乖離している場合、第１操作量Ｆｓ１、第２操作量Ｆｓ２、第４操作量Ｆｓ４を比較するのみで正常状態であるセンサを特定することができない。

　このため、第１ＥＣＵ処理部３１２は、第１差分フラグ、第２差分フラグ、第３差分フラグの全てが異常である場合、第１ＥＣＵ３１に接続される第１センサ２１、第２センサ２２、第４センサ２４のうちの複数のセンサが異常状態であると判定する。すなわち、第１ＥＣＵ処理部３１２は、第１ＥＣＵ３１に接続される第１センサ２１、第２センサ２２および第４センサ２４内に正常状態であるセンサが存在すると判定せず、正常状態であるセンサを特定しない。

　そして、ステップＳ４２において、第１ＥＣＵ処理部３１２は、多数決フラグを、正常状態であるセンサを特定できないことを示す多数決失敗にし、多数決フラグが多数決失敗である情報を第２ＥＣＵ３２に送信する。そして、第１ＥＣＵ処理部３１２は、ブレーキペダル９１の操作量を決定することなく、処理を終える。すなわち、第１ＥＣＵ処理部３１２は、目標減速度の情報を第１ブレーキ回路１１および第２ブレーキ回路１２に出力しない。

　また、第２操作量Ｆｓ２が第１操作量Ｆｓ１および第４操作量Ｆｓ４に比較的近い値であって、第１差分値Δｓ１および第３差分値Δｓ３が許容誤差より小さい場合の一例を図８に示す。この図８に示す例では、第１操作量Ｆｓ１の値が第４操作量Ｆｓ４の値から比較的大きく乖離しており、第２差分値Δｓ２が許容誤差以上である。このような場合に、第１差分フラグおよび第３差分フラグが正常、且つ、第２差分フラグが異常となる。

　このような、３つの差分フラグのうち、２つの差分フラグが正常あって、残り１つの差分フラグが異常である場合、第１センサ２１、第２センサ２２および第４センサ２４のうち１つまたは２つのセンサが故障している可能性が高い。すなわち、第１センサ２１、第２センサ２２および第４センサ２４のうち１つまたは２つのセンサは異常状態であって、この異常状態である２つのセンサから送信される検出信号に基づいて算出されるブレーキペダル９１の操作量は、異常値である可能性が高い。

　しかし、第１センサ２１、第２センサ２２および第４センサ２４それぞれの検出信号に基づいて算出されるブレーキペダル９１のそれぞれの操作量を比較しても、異常状態であるセンサの数や異常状態であるセンサを特定できない。

　したがって、第１ＥＣＵ処理部３１２は、３つの差分フラグのうち、２つの差分フラグが正常あって、残り１つの差分フラグが異常である場合、第１センサ２１、第２センサ２２および第４センサ２４のうち１つまたは複数のセンサが異常状態であると判定する。すなわち、第１ＥＣＵ処理部３１２は、第１ＥＣＵ３１に接続される第１センサ２１、第２センサ２２および第４センサ２４内に正常状態であるセンサが存在すると判定せず、正常状態であるセンサを特定しない。

　このため、ステップＳ４２において、第１ＥＣＵ処理部３１２は、多数決フラグを多数決失敗にし、多数決フラグが多数決失敗である情報を第２ＥＣＵ３２に送信する。そして、第１ＥＣＵ処理部３１２は、ブレーキペダル９１の操作量を決定することなく、処理を終える。すなわち、第１ＥＣＵ処理部３１２は、目標減速度の情報を第１ブレーキ回路１１および第２ブレーキ回路１２に出力しない。

　以上のように、ステップＳ３０～ステップＳ４２において実行される多数決判定処理では、図９に示す表のようにブレーキペダル９１の操作量が決定される。基本的には、本実施形態のブレーキシステム１では、主要側で設定される第１ＥＣＵ３１によって正常状態であるセンサを特定可能な場合、正常状態であるセンサの内、優先度が最も高いセンサの検出信号に基づいてブレーキペダル９１の操作量が決定される。すなわち、多数決判定処理において多数決失敗と判定されない場合、第２ＥＣＵ３２が正常状態であるか異常状態であるかに関わらず、目標減速度を算出することができる。

　ただし、第１ＥＣＵ３１の多数決判定処理において多数決失敗と判定され、正常状態であるセンサを特定可能できない場合、第１ＥＣＵ３１はブレーキペダル９１の操作量を決定することができない。このため、第２ＥＣＵ３２が正常状態である場合、第２ＥＣＵ３２が実行する制御処理によってブレーキペダル９１の操作量を決定する。

　続いて、第２ＥＣＵ３２が実行する制御処理について図１０および図１１を参照して説明する。最初に、ステップＳ５０において、第２ＥＣＵ３２は、自身の動作状態が正常状態か異常状態かを判定する。正常状態とは、第２ＥＣＵ３２が第３信号Ｓ３および第４信号Ｓ４を正常に受信可能であって、第３センサ２３および第４センサ２４へ正常に電源を供給可能である状態である。

　また、正常状態とは、第３信号Ｓ３および第４信号Ｓ４を受信した際に、第２ＥＣＵ処理部３２２が第３信号Ｓ３および第４信号Ｓ４に基づいて正常な処理動作を実行可能な状態である。これに対して、異常状態とは、第３信号Ｓ３および第４信号Ｓ４の受信が不可能、第３センサ２３および第４センサ２４へ電源を供給不可能、第２ＥＣＵ処理部３２２が正常な処理動作を実行不可能のいずれか１つまたは複数が組み合わされた状態である。ステップＳ５１において、第２ＥＣＵ３２は、判定した自身の動作状態の情報を第１ＥＣＵ３１へ出力する。また、ステップＳ５２において、第２ＥＣＵ３２は、第１ＥＣＵ３１のステップＳ１１の処理において判定される第１ＥＣＵ３１の動作状態の情報を第１ＥＣＵ３１から取得する。

　ステップＳ５３において、第２ＥＣＵ３２は、第１ＥＣＵ３１の多数決判定処理において設定される多数決フラグの情報を取得する。

　第２ＥＣＵ３２が正常状態である場合、ステップＳ５４において、第２ＥＣＵ３２は、第３センサ２３から送信される第３信号Ｓ３および第４センサ２４から送信される第４信号Ｓ４を取得する。なお、図示しないが、第２ＥＣＵ３２が異常状態である場合、ステップＳ５４以降の処理を全てスキップする。

　ステップＳ５４において、第２ＥＣＵ３２は、第３信号Ｓ３および第４信号Ｓ４を取得すると、第２ＥＣＵ処理部３２２が第３信号Ｓ３および第４信号Ｓ４それぞれに基づいて、ブレーキペダル９１の操作量を算出する。具体的に、第２ＥＣＵ処理部３２２は、第３信号Ｓ３を取得すると、この第３信号Ｓ３および予め定められた制御マップに基づいて、第３操作量Ｆｓ３を算出する。さらに、第２ＥＣＵ処理部３２２は、第４信号Ｓ４を取得すると、この第４信号Ｓ４および予め定められた制御マップに基づいて、第４操作量Ｆｓ４を算出する。第２ＥＣＵ処理部３２２がステップＳ５４において算出する第４操作量Ｆｓ４は、第１ＥＣＵ処理部３１２がステップＳ１４において算出する第４操作量Ｆｓ４と等しい。

　ステップＳ５５において、第２ＥＣＵ処理部３２２は、算出した第３操作量Ｆｓ３および第４操作量Ｆｓ４に基づいて、第２ＥＣＵ３２におけるセンサ異常判定処理を行う。第２ＥＣＵ３２のセンサ異常判定は、第２ＥＣＵ３２に接続される第３センサ２３および第４センサ２４のいずれも正常状態であるか、および少なくとも一方が異常状態であるかを判定するために実行される。

　具体的に、ステップＳ５５において、第２ＥＣＵ処理部３２２は、第３操作量Ｆｓ３および第４操作量Ｆｓ４が正常か異常かを判定するとともに、第３操作量Ｆｓ３と第４操作量Ｆｓ４との差分値である第４差分値Δｓ４が許容誤差より小さいか否かを判定する。

　ここで、本実施形態では、第２ＥＣＵ３２に接続される第３センサ２３および第４センサ２４は、互いに異なる検出方式でブレーキペダル９１の操作量を検出する２つのセンサが組み合わされて構成されている。このため、互いに検出方式が異なる２つの第３センサ２３および第４センサ２４が、外部要因によって、同時に故障する可能性が比較的低い。

　このため、第３操作量Ｆｓ３および第４操作量Ｆｓ４それぞれの値が比較的近い値や略同様の値であって、第４差分値Δｓ４が許容誤差より小さい場合、第３センサ２３および第４センサ２４それぞれは、故障していない可能性が高い。すなわち、第３センサ２３および第４センサ２４それぞれは正常状態であって、これら正常状態である第３センサ２３および第４センサ２４から送信される検出信号に基づいて算出される２つのブレーキペダル９１の操作量それぞれは、正常値である可能性が高い。

　このため、第２ＥＣＵ処理部３２２は、第３操作量Ｆｓ３および第４操作量Ｆｓ４が正常であって、第４差分値Δｓ４が許容誤差より小さい場合、第２ＥＣＵ３２に接続される第３センサ２３および第４センサ２４のいずれも正常状態であると判定する。すなわち、第２ＥＣＵ処理部３２２は、第２ＥＣＵ３２に接続される第３センサ２３および第４センサ２４内に正常状態であるセンサが存在すると判定するとともに、正常状態であるセンサを特定する。

　これに対して、第３操作量Ｆｓ３の値および第４操作量Ｆｓ４の値が比較的大きく乖離しており、第４差分値Δｓ４が許容誤差以上である場合、第３センサ２３および第４センサ２４の少なくとも一方が故障している可能性が高い。すなわち、第３センサ２３および第４センサ２４の少なくとも一方は異常状態であって、第３センサ２３および第４センサ２４から送信される検出信号に基づいて算出される２つのブレーキペダル９１の操作量の少なくとも一方は、異常値である可能性が高い。

　さらに、第４差分値Δｓ４が許容誤差以上である場合、第３センサ２３および第４センサ２４のいずれも故障している可能性がある。そして、第３センサ２３および第４センサ２４から送信される検出信号に基づいて算出される２つのブレーキペダル９１の操作量のいずれも異常値である可能性がある。

　このため、第２ＥＣＵ処理部３２２は、第３操作量Ｆｓ３および第４操作量Ｆｓ４が異常、または第４差分値Δｓ４が許容誤差以上である場合、第２ＥＣＵ３２に接続され第３センサ２３および第４センサ２４の少なくとも一方が異常状態であると判定する。すなわち、第２ＥＣＵ処理部３２２は、第２ＥＣＵ３２に接続される第３センサ２３および第４センサ２４内に正常状態であるセンサが存在すると判定せず、正常状態であるセンサを特定しない。

　このため、第３操作量Ｆｓ３および第４操作量Ｆｓ４が異常でない、且つ、第４差分値Δｓ４が許容誤差より小さい場合、ステップＳ５６で第２ＥＣＵ処理部３２２は、第３センサ２３および第４センサ２４が正常であることを示す第４差分フラグを正常にする。そして、第２ＥＣＵ処理部３２２は、ステップＳ５８の処理を実行する。

　これに対して、第３操作量Ｆｓ３が異常でない、且つ、第４操作量Ｆｓ４が異常でない、且つ、第４差分値Δｓ４が許容誤差より小さいと判定しない場合、ステップＳ５７において、第２ＥＣＵ処理部３２２は、第４差分フラグを異常にする。そして、第２ＥＣＵ処理部３２２は、ステップＳ５８およびステップＳ５９の処理をスキップする。

　なお、第１ＥＣＵ３１が多数決判定処理を実行する際に用いる許容誤差の大きさおよび第２ＥＣＵ３２がセンサ異常判定処理を実行する際に用いる許容誤差の大きさは、互いに異なる大きさであってもよいし、同じ大きさであってもよい。

　ステップＳ５８において、第２ＥＣＵ処理部３２２は、第１ＥＣＵ３１から送信される多数決フラグの情報に基づいて、第４センサ２４が異常状態であると判定された、または異常状態の可能性があると判定されたか否かを判定する。ステップＳ５８の処理は、ステップＳ５８が実行される時点より前に第１ＥＣＵ３１で実施された多数決判定処理において、第４センサ２４が正常状態であったか否かを判定するために実行される。

　第２ＥＣＵ処理部３２２は、第１ＥＣＵ３１から送信される多数決フラグの情報が第４センサ異常でない、且つ、多数決失敗でないと判定する場合、ステップＳ５９の処理を実行する。換言すれば、第１ＥＣＵ３１から送信される多数決フラグの情報が正常、または、第１センサ異常、または、第２センサ異常と判定される場合、ステップＳ５９の処理を実行する。

　ステップＳ５９において、第２ＥＣＵ処理部３２２は、車両のイグニッションスイッチがオンされた後に実行される第１ＥＣＵ３１の多数決判定処理において、第４センサ２４が正常状態と判定されたことを示す正常経験フラグをオンする。正常経験フラグは、車両のイグニッションスイッチがオンされた後に第４センサ２４の状態が正常状態であったか異常状態であったかを判定するためフラグである。

　そして、正常経験フラグは、車両のイグニッションスイッチがオンされた後に実行される第１ＥＣＵ３１の多数決判定処理において第４センサ２４が正常状態であった場合、イグニッションスイッチがオフされるまでオンの状態を維持する。換言すれば、正常経験フラグは、車両のイグニッションスイッチがオンされた後、第４センサ２４の状態が正常状態であったことを第１ＥＣＵ３１の多数決判定処理によって確認できた場合にオンの状態が維持される。

　なお、ステップＳ５８の判定処理は、ステップＳ５５の判定処理において第３センサ２３および第４センサ２４のどちらも正常状態と判定された場合に実行される。このため、正常経験フラグがオンである場合、車両のイグニッションスイッチがオンされた後、第４センサ２４の状態が正常状態であっただけでなく、第３センサ２３の状態も正常状態であったことを示す。

　また、図示しないが、正常経験フラグは、車両のイグニッションスイッチがオンされた際の初期値がオフに設定されるフラグである。このため、車両のイグニッションスイッチがオンされた際の第３センサ２３または第４センサ２４の一方でも異常状態である場合、ステップＳ５５で否定判定が為されることで、正常経験フラグは、イグニッションスイッチがオフされるまでオフの状態が維持される。また、車両のイグニッションスイッチがオンされた後に実行される第１ＥＣＵ３１の多数決判定処理において第４センサ２４が正常状態であったと判定されない場合、正常経験フラグは、イグニッションスイッチがオフされるまでオフの状態が維持される。

　ステップＳ６０において、第２ＥＣＵ処理部３２２は、第１ＥＣＵ３１から送信される第１ＥＣＵ３１の動作状態の情報に基づいて、第１ＥＣＵ３１が正常状態であるか否かを判定する。また、ステップＳ６１において、第２ＥＣＵ処理部３２２は、第１ＥＣＵ３１から送信される多数決フラグの情報が多数決失敗であるかを判定する。

　第１ＥＣＵ３１が正常状態であって、且つ、多数決フラグの情報が多数決失敗でないと判定される場合、車両の目標減速度は、第１ＥＣＵ３１によって算出される。これは、第１ＥＣＵ３１が第１センサ２１、第２センサ２２および第４センサ２４のうち少なくとも２つの正常状態であるセンサから正常な検出信号を受信できるためである。このため、第１ＥＣＵ３１は、この正常状態であるセンサからの検出信号によってブレーキペダル９１の操作量を算出することができる。したがって、ステップＳ６０およびステップＳ６１において、否定判定がされない場合、第２ＥＣＵ処理部３２２は、ブレーキペダル９１の操作量を決定することなく、処理を終える。すなわち、第２ＥＣＵ処理部３２２は、目標減速度の情報を第１ブレーキ回路１１および第２ブレーキ回路１２に出力しない。

　これに対して、第１ＥＣＵ３１が正常状態であると判定されず、且つ、多数決フラグの情報が多数決失敗でないと判定されない場合、車両の目標減速度は、第１ＥＣＵ３１によって算出することができない。これは、第１ＥＣＵ３１が第１センサ２１、第２センサ２２および第４センサ２４内に正常状態であるセンサを特定することができないためである。この場合、第１ＥＣＵ３１は、第１センサ２１、第２センサ２２および第４センサ２４からの検出信号によってブレーキペダル９１の操作量を算出することができない。したがって、ステップＳ６０またはステップＳ６１において、否定判定がされる場合、制御主導権が第１ＥＣＵ３１から第２ＥＣＵ３２へ移譲される。そして、第２ＥＣＵ処理部３２２は、図１１に示す以下の処理を実行する。

　ステップＳ７０において、第２ＥＣＵ処理部３２２は、第４差分フラグが正常であるか否かを判定する。すなわち、ステップＳ７０において、第２ＥＣＵ処理部３２２は、第３センサ２３および第４センサ２４のいずれも正常状態であるか否かを判定する。ステップＳ７１において第４差分フラグが正常であると判定された場合、第２ＥＣＵ処理部３２２は、第３センサ２３および第４センサ２４から送信される検出信号に基づいて、ブレーキペダル９１の操作量を決定する。本実施形態では、第３センサ２３が第４センサ２４に比較して優先度が高く設定されている。このため、第２ＥＣＵ処理部３２２は、第４センサ２４に比較して優先度が高い第３センサ２３から送信される検出信号に基づいて、ブレーキペダル９１の操作量を第３操作量Ｆｓ３に決定する。

　なお、第３センサ２３は、第４センサ２４に比較して優先度が低く設定されてもよい。この場合、第２ＥＣＵ処理部３２２は、第４センサ２４から送信される検出信号に基づいて、ブレーキペダル９１の操作量を第４操作量Ｆｓ４に決定する。

　そして、第２ＥＣＵ処理部３２２は、決定したブレーキペダル９１の操作量である第３操作量Ｆｓ３および予め定められた制御マップに基づいて、車両の目標減速度を算出する。そして、第２ＥＣＵ３２は、第２ＥＣＵスイッチ３２３によって第１ブレーキ回路１１および第２ブレーキ回路１２との接続がオンされる。また、第１ＥＣＵ３１は、第１ＥＣＵスイッチ３１３によって第１ブレーキ回路１１および第２ブレーキ回路１２との接続がオフされる。そして、第２ＥＣＵ３２は、算出した目標減速度の情報を第１ブレーキ回路１１および第２ブレーキ回路１２に出力することで、第１ブレーキ回路１１および第２ブレーキ回路１２を制御する。

　これに対して、ステップＳ７０で第４差分フラグが正常であると判定されない場合、第２ＥＣＵ処理部３２２は、ステップＳ７２において正常経験フラグがオンであるか否かを判定する。

　ステップＳ７２で正常経験フラグがオンであると判定された場合、ステップＳ７３において、第２ＥＣＵ処理部３２２は、第３センサ２３から送信される検出信号に基づいて、ブレーキペダル９１の操作量を決定する。そして、第２ＥＣＵ処理部３２２は、決定したブレーキペダル９１の操作量である第３操作量Ｆｓ３および予め定められた制御マップに基づいて、車両の目標減速度を算出する。そして、第２ＥＣＵ３２は、第２ＥＣＵスイッチ３２３によって第１ブレーキ回路１１および第２ブレーキ回路１２との接続がオンされる。また、第１ＥＣＵ３１は、第１ＥＣＵスイッチ３１３によって第１ブレーキ回路１１および第２ブレーキ回路１２との接続がオフされる。そして、第２ＥＣＵ３２は、算出した目標減速度の情報を第１ブレーキ回路１１および第２ブレーキ回路１２に出力することで、第１ブレーキ回路１１および第２ブレーキ回路１２を制御する。

　このようにステップＳ７２で正常経験フラグがオンであると判定された場合、第３センサ２３から送信される検出信号に基づいてブレーキペダル９１の操作量を決定する理由について説明する。

　正常経験フラグは、車両のイグニッションスイッチがオンされた後に実行される第１ＥＣＵ３１の多数決判定処理において、第４センサ２４が正常状態と判定された場合にオンされる。また、正常経験フラグを初期値オフからオンへ変更可能か否かを判定するステップＳ５８の処理は、ステップＳ５５で第３センサ２３および第４センサ２４のいずれも正常状態であると判定された際に実行される。このため、正常経験フラグがオンであるということは、車両のイグニッションスイッチがオンされた後に、第４センサ２４の状態が第１ＥＣＵ３１および第２ＥＣＵ３２によって正常状態であると判定されたことを示す。そして、正常経験フラグがオンされた場合、車両のイグニッションスイッチがオンである間、正常経験フラグは、そのオン状態が維持される。

　そして、多数決判定処理において多数決失敗と判定された場合に制御主導権が第１ＥＣＵ３１から第２ＥＣＵ３２へ移譲されるところ、本実施形態では、第１ＥＣＵ３１に第１センサ２１、第２センサ２２および第４センサ２４が接続されている。このように第１ＥＣＵ３１に複数のセンサが接続される構成において、外部要因によってこれら第１センサ２１、第２センサ２２および第４センサ２４が同時に故障する可能性が比較的小さい。特に、本実施形態では、第１ＥＣＵ３１に接続される第１センサ２１、第２センサ２２および第４センサ２４は、互いの検出方式が異なっている。このため、互いに検出方式が異なる３つの第１センサ２１、第２センサ２２および第４センサ２４が、外部要因によって、同時に故障する可能性が非常に低い。すなわち、３つの第１センサ２１、第２センサ２２および第４センサ２４のうち複数のセンサが同時に故障することによって第１ＥＣＵ３１の多数決判定処理において多数決失敗と判定される可能性が非常に低い。

　このため、ステップＳ６１で多数決フラグが多数決失敗でないと判定されない場合、第１センサ２１、第２センサ２２および第４センサ２４のうちの２つのセンサが異なるタイミングで異常状態となったと想定される。例えば、第１センサ２１が異常状態となってから所定期間経過後に第２センサ２２または第４センサ２４が異常状態となったことでステップＳ６１において多数決フラグが多数決失敗でないと判定されなくなったと想定される。また、他の例としては、第４センサ２４が異常状態となってから所定期間経過後に第１センサ２１または第２センサ２２が異常状態となったことでステップＳ６１において多数決フラグが多数決失敗でないと判定されなくなったと想定される。

　例えば、第１センサ２１が異常状態となってから所定期間経過後に第４センサ２４が異常状態となったことでステップＳ６１において多数決フラグが多数決失敗でないと判定されなくなったとする。この場合、第４センサ２４が異常状態となることでステップＳ５５において否定判定が為される。この場合、第４差分フラグは、ステップＳ５７の処理で異常に変更される。ただし、正常経験フラグは、オンの状態が維持されたままである。

　また、第２ＥＣＵ３２には、第３センサ２３および第４センサ２４が接続されており、これら第３センサ２３および第４センサ２４が同時に故障する可能性が比較的小さい。特に、本実施形態では、第２ＥＣＵ３２に接続される第３センサ２３および第４センサ２４は、互いに異なる検出方式でブレーキペダル９１の操作量を検出する２つのセンサが組み合わされて構成されている。このため、互いに検出方式が異なる２つの第３センサ２３および第４センサ２４が、外部要因によって、同時に故障する可能性が非常に低い。

　したがって、正常経験フラグがオンの状態で、ステップＳ６１において否定判定が為された制御周期と同じ制御周期で実行されるステップＳ５５において、否定判定が為される場合、第４センサ２４のみが異常状態となったと想定される。すなわち、ステップＳ７０で第４差分フラグが正常であると判定されない場合、第３センサ２３および第４センサ２４のうち第４センサ２４が異常状態となったものの、第３センサ２３は正常状態であると想定できる。

　換言すれば、第１ＥＣＵ３１および第２ＥＣＵ３２によって第４センサ２４が正常状態であると判定された後状態で、第１ＥＣＵ３１は、第１センサ２１、第２センサ２２および第４センサ２４内に正常状態であるセンサが存在すると判定できなくなったとする。また、第２ＥＣＵ３２は、第１ＥＣＵ３１および第２ＥＣＵ３２によって第４センサ２４が正常状態であると判定された後状態で、第３センサ２３および第４センサ２４のいずれも正常状態であると判定できなくなったとする。

　このような場合、第１ＥＣＵ３１および第２ＥＣＵ３２に共通して接続される第４センサ２４が異常状態となったことで多数決判定処理において多数決失敗と判定され、センサ異常判定において異常と判定されたと想定できる。そして、第２ＥＣＵ３２に接続される２つのセンサのうち、異常状態となったと想定される第４センサ２４とは異なる第３センサ２３は正常状態であると想定できる。

　以上より、第２ＥＣＵ処理部３２２は、ステップＳ７２で正常経験フラグがオンであると判定された場合、第３センサ２３から送信される検出信号に基づいて、ブレーキペダル９１の操作量を決定することができる。

　また、第１センサ２１、第２センサ２２および第４センサ２４のうち、最初に第４センサ２４が異常状態となったとする。この場合、第４センサ２４が異常状態となった時点で、ステップＳ５５において否定判定が為され、第４差分フラグは、ステップＳ５７の処理で異常に変更される。ただし、正常経験フラグは、オンの状態が維持されたままである。そして、第４センサ２４が異常状態となってから所定期間経過後に第１センサ２１または第２センサ２２が異常状態となったことで、ステップＳ６１において多数決フラグが多数決失敗でないと判定されなくなったとする。

　このように第１センサ２１、第２センサ２２および第４センサ２４のうち２つのセンサが異常状態となった場合であっても、正常経験フラグがオンである場合、第３センサ２３は正常状態であると想定する。すなわち、第１センサ２１、第２センサ２２および第４センサ２４のうち２つのセンサが異常状態となった場合でも、車両のイグニッションスイッチがオンされた後、第３センサ２３の状態が正常状態であった場合、第３センサ２３は正常状態であると想定する。

　このため、第２ＥＣＵ処理部３２２は、ステップＳ７２で正常経験フラグがオンであると判定された場合、第３センサ２３から送信される検出信号に基づいて、ブレーキペダル９１の操作量を決定することができる。

　これに対して、ステップＳ７２で正常経験フラグがオンであると判定されない場合、第２ＥＣＵ３２は、ブレーキペダル９１の操作量を決定しない。そして、ステップＳ７４において、第２ＥＣＵ３２は、予め定められるフェイルセーフ動作を実行するための制御信号を第１ブレーキ回路１１および第２ブレーキ回路１２に出力する。これは、車両のイグニッションスイッチがオンされた後、第１ＥＣＵ３１および第２ＥＣＵ３２に共通して接続される第４センサ２４の状態が正常状態であることを確認することができないためである。

　例えば、車両のイグニッションスイッチがオンされた直後にステップＳ７４の処理が実行されるのであれば、フェイルセーフ動作は、インストルメントパネルに設けられた表示器にブレーキ異常状態の警告を表示してもよいし、車両の走行を禁止してもよい。また、例えば、車両の走行中にステップＳ７４の処理が実行されるのであれば、フェイルセーフ動作は、インストルメントパネルに設けられた表示器にブレーキ異常状態の警告を表示してもよいし、車両の走行速度を制限してもよい。

　以上のように、ステップＳ５０～ステップＳ７４において実行される判定処理では、図１２に示す表のようにブレーキペダル９１の操作量が決定される。基本的には、本実施形態のブレーキシステム１では、主要側で設定される第１ＥＣＵ３１によってブレーキペダル９１の操作量を決定可能である場合、第１ＥＣＵ３１の制御処理によってブレーキペダル９１の操作量が決定される。ただし、多数決判定処理において多数決失敗と判定され、第２ＥＣＵ３２によって第３センサ２３および第４センサ２４が正常状態と判定される場合、優先度が高い第３センサ２３の検出信号に基づいてブレーキペダル９１の操作量が決定される。

　また、多数決判定処理において多数決失敗と判定され、且つ、第４差分フラグが正常であると判定されない場合、正常経験フラグがオンであれば、第３センサ２３の検出信号に基づいてブレーキペダル９１の操作量が決定される。

　以上の如く、ブレーキシステム１は、第１ＥＣＵ３１の多数決判定処理において正常状態であるセンサが存在すると判定せず、第２ＥＣＵ３２のセンサ異常判定処理において正常と判定する場合、第３操作量Ｆｓ３に基づいてブレーキ回路１０を制御する。

　これによれば、第１センサ２１、第２センサ２２および第４センサ２４のうちの２つのセンサが異常状態であっても、第３操作量Ｆｓ３に基づいてブレーキ回路１０を制御することができる。このため、ブレーキシステム１としての冗長性を確保することができる。

　また、ブレーキペダル９１の操作量を検出する第１センサ２１、第２センサ２２および第４センサ２４が第１ＥＣＵ３１に直接接続され、第３センサ２３および第４センサ２４が第２ＥＣＵ３２に直接接続されている。このため、第１ＥＣＵ３１と第２ＥＣＵ３２との相互通信によってこれら第１センサ２１～第４センサ２４の検出信号を送受信する構成に比較して、第１ＥＣＵ３１および第２ＥＣＵ３２それぞれの制御処理において検出信号の同期遅れの発生を抑制できる。

　また、第１センサ２１～第４センサ２４のうち、第４センサ２４は、第１ＥＣＵ３１および第２ＥＣＵ３２に接続されており、第４センサ２４が検出するブレーキペダル９１の操作量を第１ＥＣＵ３１および第２ＥＣＵ３２に出力する。このため、第１ＥＣＵ３１および第２ＥＣＵ３２に共通に接続されるセンサを含まない構成に比較してブレーキシステム１に設けられるセンサの数を減少させることができる。したがって、ブレーキシステム１の筐体の大型化およびコストの増加を抑制できる。

　また、上記実施形態によれば、以下のような効果を得ることができる。

　（１）上記実施形態では、第１ＥＣＵ３１および第２ＥＣＵ３２によって第４センサ２４が正常状態であると判定された後状態で、第１ＥＣＵ３１が第１センサ２１、第２センサ２２および第４センサ２４に正常状態であるセンサが存在すると判定せず、第２ＥＣＵ３２が第３センサ２３および第４センサ２４のいずれも正常状態であると判定しない場合、第３センサ２３が検出する操作量に基づいて第１ブレーキ回路１１および第２ブレーキ回路１２を制御する。

　ここで、複数のセンサが同時に異常状態になる可能性は低いため、第１ＥＣＵ３１に接続される第１センサ２１、第２センサ２２および第４センサ２４のうちの複数が異常状態になるには、異常状態となるセンサが１つずつ増加していく可能性が高い。また、第２ＥＣＵ３２に接続される第３センサ２３および第４センサ２４のいずれもが異常状態になるには、一方のセンサが異常状態となった後の所定期間経過後に他方のセンサが異常状態となる可能性が高い。

　したがって、第１ＥＣＵ３１および第２ＥＣＵ３２によって第４センサ２４が正常状態であると判定された後状態で、多数決判定処理において多数決失敗と判定され、センサ異常判定処理で異常と判定される場合、第３センサ２３が正常状態であると想定できる。

　このため、第１ＥＣＵ３１で第１センサ２１、第２センサ２２および第４センサ２４に正常状態であるセンサが存在すると判定できない場合であっても、第３センサ２３から送信される検出信号に基づいてブレーキペダル９１の操作量を決定することができる。第１センサ２１、第２センサ２２および第４センサ２４のうちの２つのセンサが異常状態であっても、第３操作量Ｆｓ３に基づいてブレーキ回路１０を制御することができる。このため、ブレーキシステム１としての冗長性を確保することができる。

　（２）上記実施形態では、第１ＥＣＵ３１が第１センサ２１、第２センサ２２および第４センサ２４が検出する操作量それぞれの差が許容値以内か否かに基づいて、第４センサ２４が正常状態であるか否かを判定する。そして、第２ＥＣＵ３２が第３センサ２３および第４センサ２４が検出する操作量それぞれの差が許容値以内か否かに基づいて、第４センサ２４が正常状態であるか否かを判定する。

　これによれば、第４センサ２４が正常状態か異常状態かを第１ＥＣＵ３１が判定する判定結果および第２ＥＣＵ３２が判定する判定結果に基づいて行うことができるため、判定精度を向上させることができる。

　（３）上記実施形態では、第１ＥＣＵ３１および第２ＥＣＵ３２は、相互通信可能であって、互いの正常状態および異常状態を送受信可能に構成されている。また、第１ＥＣＵ３１および第２ＥＣＵ３２のうち一方のＥＣＵが異常状態である場合、他方のＥＣＵが検出する前記操作量に基づいて第１ブレーキ回路１１および第２ブレーキ回路１２を制御する。

　これによれば、第１ＥＣＵ３１が異常状態であっても、第２ＥＣＵ３２が正常状態であれば、第３センサ２３および第４センサ２４が検出するブレーキペダル９１の操作量に基づいて第１ブレーキ回路１１および第２ブレーキ回路１２を制御することができる。また、第２ＥＣＵ３２が異常状態であっても、第１ＥＣＵ３１が正常状態であれば、第１センサ２１、第２センサ２２、第４センサ２４が検出するブレーキペダル９１の操作量に基づいて第１ブレーキ回路１１および第２ブレーキ回路１２を制御することができる。

　（４）上記実施形態では、第１ＥＣＵ３１および第２ＥＣＵ３２のいずれも正常状態である場合、第１ＥＣＵ３１に送信される検出信号に基づいて第１ブレーキ回路１１および第２ブレーキ回路１２を制御する。

　これによれば、第１ＥＣＵ３１および第２ＥＣＵ３２のいずれも正常状態である場合、第１ＥＣＵ３１および第２ＥＣＵ３２それぞれが算出する操作量に基づいて第１ブレーキ回路１１および第２ブレーキ回路１２制御する構成に比較して処理速度を上昇できる。

　（５）上記実施形態では、第１センサ２１、第２センサ２２および第４センサ２４は、ブレーキペダル９１の操作量を検出する検出方式が互いに異なるセンサを少なくとも２つ含む。また、第３センサ２３および第４センサ２４は、ブレーキペダル９１の操作量を検出する検出方式が互いに異なっている。

　これによれば、第１センサ２１、第２センサ２２および第４センサ２４のうち、例えば、１つのセンサが外部環境等によってブレーキペダル９１の操作量を検出できなくても、その他２つのセンサによってブレーキペダル９１の操作量を検出することができる。また、第３センサ２３および第４センサ２４のうち、例えば、一方のセンサが外部環境等によってブレーキペダル９１の操作量を検出できなくても、他方のセンサによってブレーキペダル９１の操作量を検出することができる。

（他の実施形態）
　以上、本開示の代表的な実施形態について説明したが、本開示は、上述の実施形態に限定されることなく、例えば、以下のように種々変形可能である。

　上述の実施形態では、第１ＥＣＵ３１に接続されるセンサの数が３つである例について説明したが、これに限定されない。例えば、第１ＥＣＵ３１には、４つ以上のセンサが接続される構成であってもよい。この場合、第１ＥＣＵ３１は、４つ以上のセンサから送信される検出信号に基づいて多数決判定処理を実行することで、４つ以上のセンサ内に正常状態であるセンサが存在することを判定する。

　上述の実施形態では、第１ＥＣＵ３１および第２ＥＣＵ３２は、相互通信可能であって、互いの正常状態および異常状態を送受信可能に構成されている例について説明したが、これに限定されない。

　例えば、第１ＥＣＵ３１および第２ＥＣＵ３２は、互いの正常状態および異常状態を送受信不可能に構成されていてもよい。この場合、第１ＥＣＵ３１および第２ＥＣＵ３２は、互いに独立して第１ブレーキ回路１１および第２ブレーキ回路１２に決定した操作量を送信してもよい。

　第１ブレーキ回路１１および第２ブレーキ回路１２は、第１ＥＣＵ３１および第２ＥＣＵ３２のいずれからも決定された操作量を受信できない場合、フェイルセーフ動作を実行する構成であってもよい。または、第１ブレーキ回路１１および第２ブレーキ回路１２は、第１ＥＣＵ３１および第２ＥＣＵ３２の少なくとも一方から決定された操作量を受信した場合、受信した操作量に基づいて動作してもよい。

　上述の実施形態では、第１ＥＣＵ３１および第２ＥＣＵ３２のうち一方のＥＣＵが異常状態である場合、他方のＥＣＵが検出する前記操作量に基づいて第１ブレーキ回路１１および第２ブレーキ回路１２を制御する例について説明したが、これに限定されない。例えば、第１ＥＣＵ３１および第２ＥＣＵ３２のうち一方のＥＣＵが異常状態である場合、他方のＥＣＵがフェイルセーフ動作を実行するための制御信号を第１ブレーキ回路１１および第２ブレーキ回路１２に出力する構成であってもよい。

　上述の実施形態では、第１ＥＣＵ３１および第２ＥＣＵ３２のいずれも正常状態である場合、第１ＥＣＵ３１に送信される操作量に基づいて第１ブレーキ回路１１および第２ブレーキ回路１２を制御する例について説明したが、これに限定されない。第１ＥＣＵ３１および第２ＥＣＵ３２のいずれも正常状態である場合、第２ＥＣＵ３２に送信される操作量に基づいて第１ブレーキ回路１１および第２ブレーキ回路１２を制御する構成であってもよい。

　上述の実施形態では、第１ＥＣＵ３１が正常状態である場合、第１ＥＣＵ３１に接続される複数のセンサのうち、正常状態であると判定されたセンサが検出する操作量に基づいて目標減速度を算出する例について説明したが、これに限定されない。例えば、第１ＥＣＵ３１が正常状態であって、且つ、第２ＥＣＵ３２が正常状態である場合、第１センサ２１～第４センサ２４のうち、正常状態であると判定された１つまたは複数のセンサが検出する操作量に基づいて目標減速度を算出してもよい。例えば、第１センサ２１～第４センサ２４の全てが正常状態であると判定された場合、これら第１センサ２１～第４センサ２４それぞれが検出する操作量の平均値に基づいて目標減速度を算出してもよい。

　上述の実施形態では、第１センサ２１、第２センサ２２および第４センサ２４は、ブレーキペダル９１の操作量を検出する検出方式が互いに異なっている例について説明したが、これに限定されない。また、第３センサ２３および第４センサ２４は、ブレーキペダル９１の操作量を検出する検出方式が互いに異なっている例について説明したが、これに限定されない。

　例えば、第１センサ２１、第２センサ２２および第４センサ２４は、ブレーキペダル９１の操作量を検出する検出方式が同じ方式で構成されていてもよい。また、第１センサ２１、第２センサ２２および第４センサ２４は、３つのセンサのうち２つがブレーキペダル９１の操作量を検出する検出方式が同じであって、残り１つのセンサの検出方式が異なる構成であってもよい。さらに、第３センサ２３および第４センサ２４は、ブレーキペダル９１の操作量を検出する検出方式が同じ方式で構成されていてもよい。

　上述の実施形態において、実施形態を構成する要素は、特に必須であると明示した場合および原理的に明らかに必須であると考えられる場合等を除き、必ずしも必須のものではないことは言うまでもない。

　上述の実施形態において、実施形態の構成要素の個数、数値、量、範囲等の数値が言及されている場合、特に必須であると明示した場合および原理的に明らかに特定の数に限定される場合等を除き、その特定の数に限定されない。

　上述の実施形態において、構成要素等の形状、位置関係等に言及するときは、特に明示した場合および原理的に特定の形状、位置関係等に限定される場合等を除き、その形状、位置関係等に限定されない。

（本開示の特徴）
［第１の観点］
　車両を制動するブレーキ回路（１０）を制御するブレーキシステムであって、
　運転者に操作されるブレーキペダル（９１）の操作量を検出し、検出した前記操作量に応じた検出信号を生成して出力する４つ以上のセンサ（２１、２２、２３、２４）と、
　前記４つ以上のセンサのうちの１つの所定のセンサ（２３）を除く３つ以上のセンサ（２１、２２、２４）が接続される第１電子制御装置（３１）と、前記所定のセンサおよび前記３つ以上のセンサのうちの１つの共通のセンサ（２４）の２つのセンサが接続される第２電子制御装置（３２）とを含み、前記４つ以上のセンサが検出する前記操作量に基づいて前記ブレーキ回路を制御する電子制御装置（３０）と、を備え、
　前記第１電子制御装置は、前記３つ以上のセンサそれぞれが検出する前記操作量に基づいて、前記３つ以上のセンサに正常状態であるセンサが存在することを判定可能であって、
　前記第２電子制御装置は、前記２つのセンサそれぞれが検出する前記操作量に基づいて、前記２つのセンサのいずれも正常状態であることを判定可能であって、
　前記電子制御装置は、
　前記第１電子制御装置が、前記３つ以上のセンサに正常状態であるセンサが存在すると判定せず、前記第２電子制御装置が、前記２つのセンサのいずれも正常状態であると判定する場合、前記所定のセンサおよび前記共通のセンサのうち少なくとも一方のセンサが検出する前記操作量に基づいて前記ブレーキ回路を制御するブレーキシステム。

［第２の観点］
　前記電子制御装置は、
　前記第１電子制御装置および前記第２電子制御装置によって前記共通のセンサが正常状態であると判定された後状態で、前記第１電子制御装置が、前記３つ以上のセンサに正常状態であるセンサが存在すると判定せず、前記第２電子制御装置が、前記２つのセンサのいずれも正常状態であると判定しない場合、前記所定のセンサが検出する前記操作量に基づいて前記ブレーキ回路を制御する第１の観点に記載のブレーキシステム。

［第３の観点］
　前記第１電子制御装置は、前記３つ以上のセンサが検出する前記操作量それぞれの差が予め定められる許容誤差以内か否かに基づいて、前記共通のセンサが正常状態であるか否かを判定し、
　前記第２電子制御装置は、前記２つのセンサが検出する前記操作量それぞれの差が予め定められる許容誤差以内か否かに基づいて、前記共通のセンサが正常状態であるか否かを判定する第２の観点に記載のブレーキシステム。

［第４の観点］
　前記第１電子制御装置および前記第２電子制御装置は、相互通信可能であって、互いの正常状態および異常状態を送受信可能に構成されており、
　前記第１電子制御装置および前記第２電子制御装置のうち一方の電子制御装置が異常状態である場合、他方の電子制御装置に送信される前記操作量に基づいて前記ブレーキ回路を制御する第１ないし第３の観点のいずれか１つに記載のブレーキシステム。

［第５の観点］
　前記第１電子制御装置および前記第２電子制御装置のいずれも正常状態である場合、前記第１電子制御装置および前記第２電子制御装置のどちらか一方に送信される前記操作量に基づいてブレーキ回路を制御する第１ないし第４の観点のいずれか１つに記載のブレーキシステム。

［第６の観点］
　前記第１電子制御装置に接続される前記３つ以上のセンサは、前記ブレーキペダルの操作量を検出する検出方式が互いに異なるセンサを少なくとも２つ含み、
　前記第２電子制御装置に接続される前記２つのセンサは、前記ブレーキペダルの操作量を検出する検出方式が互いに異なる第１ないし第５の観点のいずれ１つに記載のブレーキシステム。

Claims

　車両を制動するブレーキ回路（１０）を制御するブレーキシステムであって、
　運転者に操作されるブレーキペダル（９１）の操作量を検出し、検出した前記操作量に応じた検出信号を生成して出力する４つ以上のセンサ（２１、２２、２３、２４）と、
　前記４つ以上のセンサのうちの１つの所定のセンサ（２３）を除く３つ以上のセンサ（２１、２２、２４）が接続される第１電子制御装置（３１）と、前記所定のセンサおよび前記３つ以上のセンサのうちの１つの共通のセンサ（２４）の２つのセンサが接続される第２電子制御装置（３２）とを含み、前記４つ以上のセンサが検出する前記操作量に基づいて前記ブレーキ回路を制御する電子制御装置（３０）と、を備え、
　前記第１電子制御装置は、前記３つ以上のセンサそれぞれが検出する前記操作量に基づいて、前記３つ以上のセンサに正常状態であるセンサが存在することを判定可能であって、
　前記第２電子制御装置は、前記２つのセンサそれぞれが検出する前記操作量に基づいて、前記２つのセンサのいずれも正常状態であることを判定可能であって、
　前記電子制御装置は、
　前記第１電子制御装置が、前記３つ以上のセンサに正常状態であるセンサが存在すると判定せず、前記第２電子制御装置が、前記２つのセンサのいずれも正常状態であると判定する場合、前記所定のセンサおよび前記共通のセンサのうち少なくとも一方のセンサが検出する前記操作量に基づいて前記ブレーキ回路を制御するブレーキシステム。
　前記電子制御装置は、
　前記第１電子制御装置および前記第２電子制御装置によって前記共通のセンサが正常状態であると判定された後状態で、前記第１電子制御装置が、前記３つ以上のセンサに正常状態であるセンサが存在すると判定せず、前記第２電子制御装置が、前記２つのセンサのいずれも正常状態であると判定しない場合、前記所定のセンサが検出する前記操作量に基づいて前記ブレーキ回路を制御する請求項１に記載のブレーキシステム。
　前記第１電子制御装置は、前記３つ以上のセンサが検出する前記操作量それぞれの差が予め定められる許容誤差以内か否かに基づいて、前記共通のセンサが正常状態であるか否かを判定し、
　前記第２電子制御装置は、前記２つのセンサが検出する前記操作量それぞれの差が予め定められる許容誤差以内か否かに基づいて、前記共通のセンサが正常状態であるか否かを判定する請求項２に記載のブレーキシステム。
　前記第１電子制御装置および前記第２電子制御装置は、相互通信可能であって、互いの正常状態および異常状態を送受信可能に構成されており、
　前記第１電子制御装置および前記第２電子制御装置のうち一方の電子制御装置が異常状態である場合、他方の電子制御装置に送信される前記操作量に基づいて前記ブレーキ回路を制御する請求項１ないし３のいずれか１つに記載のブレーキシステム。
　前記第１電子制御装置および前記第２電子制御装置のいずれも正常状態である場合、前記第１電子制御装置および前記第２電子制御装置のどちらか一方に送信される前記検出信号に基づいて前記ブレーキ回路を制御する請求項４に記載のブレーキシステム。
　前記第１電子制御装置に接続される前記３つ以上のセンサは、前記ブレーキペダルの前記操作量を検出する検出方式が互いに異なるセンサを少なくとも２つ含み、
　前記第２電子制御装置に接続される前記２つのセンサは、前記ブレーキペダルの前記操作量を検出する検出方式が互いに異なる請求項１に記載のブレーキシステム。