制动系统

技术领域

本发明涉及对汽车等车辆施加制动力的制动系统。

背景技术

例如，在专利文献1中记载了一种车辆用制动控制装置，在自动制动器的制动要求和驾驶员(驾驶者)的制动要求同时发生的情况下，以将这些制动要求相加后的目标制动力进行控制。在专利文献2中记载了一种碰撞回避装置，在自动制动器的制动要求和驾驶员的制动要求同时发生的情况下，以将这些要求进行选择高之后的目标制动力来进行控制。在专利文献3中记载了一种车辆的驾驶辅助装置，在同时产生自动制动器的制动要求和驾驶员的制动要求的情况下，优先驾驶员的制动要求。

现有技术文献

专利文献

专利文献1：日本特开2002-225689号公报

专利文献2：日本特开2016-101892号公报

专利文献3：日本特开2012-192776号公报

发明内容

发明要解决的课题

对车辆的自动驾驶进行考虑。在自动驾驶中，即使在发生了故障的情况下，在驾驶员恢复驾驶之前，或者在车辆停止之前，也需要继续自动驾驶。因此，需要确保自动制动器的系统的冗余性，例如，考虑在主系统异常时由副系统实现自动驾驶的制动要求。而且，在这样的异常时，也希望能够维持与正常时同样的制动性能。

用于解决课题的方案

本发明的目的在于提供一种在异常时也能够继续与正常时同样的制动性能的制动系统。

根据本发明的一个实施方式的制动系统具备：第一车辆控制装置；第一致动器，其接受来自所述第一车辆控制装置的制动要求或基于制动踏板的操作的制动要求，对车辆施加制动力；第二车辆控制装置；第二致动器，其接受来自所述第二车辆控制装置的制动要求，对所述车辆施加制动力；调停部，其在存在来自所述第二车辆控制装置的制动要求时，在存在基于所述制动踏板的操作的制动要求的情况下，生成最终制动要求；所述调停部在所述第一车辆控制装置失效、且存在来自所述第二车辆控制装置的制动要求时，在存在基于所述制动踏板的操作的制动要求的情况下，从所述第一致动器取得基于所述制动踏板的操作的制动要求而生成所述最终制动要求，基于该最终制动要求通过所述第一致动器或所述第二致动器的至少一方对所述车辆施加制动力。

另外，根据本发明的一个实施方式的制动系统具备：第一车辆控制装置；第一致动器，其接受来自所述第一车辆控制装置的制动要求或基于制动踏板的操作的制动要求，对车辆施加制动力；第二车辆控制装置；第二致动器，其接受来自所述第二车辆控制装置的制动要求，对所述车辆施加制动力；在所述第一车辆控制装置失效的情况下，所述第二车辆控制装置经由所述第二致动器从所述第一致动器取得制动要求，通过所述第一致动器施加制动力。

发明效果

根据本发明的一个实施方式，在异常时也能够继续与正常时同样的制动性能。

附图说明

图1是示出根据第一实施方式的制动系统的概略的结构图。

图2是示出根据第一实施方式的制动系统的控制框图。

图3是示出由主致动器控制用ECU以及副致动器控制用ECU进行的控制处理的流程图。

图4是示出图3、图7、图10中的“A”之后的处理的流程图。

图5是示出向调停控制部输入的制动要求与从调停控制部输出的目标制动力之间的关系的四例(选择高、加法运算、自动制动优先、驾驶员优先)的时间变化的特性线。

图6是示出根据第二实施方式的制动系统的控制框图。

图7是示出由主致动器控制用ECU以及副致动器控制用ECU进行的控制处理的流程图。

图8是示出根据第三实施方式的制动系统的概略的结构图。

图9是示出根据第三实施方式的制动系统的控制框图。

图10是示出由主致动器控制用ECU以及副致动器控制用ECU进行的控制处理的流程图。

图11是示出图10中的“C”以及“D”之后的处理的流程图。

具体实施方式

以下，以将根据实施方式的制动系统搭载于四轮汽车的情况为例，根据附图进行说明。

图1至图5示出了第一实施方式。在图1中，在汽车的车辆上，搭载有对车辆施加制动力的制动系统1。制动系统1基于驾驶员(驾驶者)对制动踏板2的操作对车辆施加制动力。除此之外，制动系统1构成不需要驾驶员的驾驶操作(加速操作、减速操作、转向操作)而使车辆自动地行驶的自动驾驶系统的制动系统(自动制动系统)。自动驾驶系统例如包含对车辆施加制动力的制动系统1、对车辆进行转向的转向系统(自动转向系统)、驱动车辆的驱动系统(自动驱动系统)而构成。在附图中，省略了制动系统1以外的与自动驾驶相关的系统(例如，转向系统、驱动系统等)。

制动系统1具备作为第一车辆控制装置的主自动驾驶ECU3、作为第一致动器的主致动器4、作为第二车辆控制装置的副自动驾驶ECU8、作为第二致动器的副致动器9。另外，制动系统1具备作为调停部的制动要求调停控制部3C、8C。主自动驾驶ECU3是控制车辆的控制装置。即，主自动驾驶ECU3是用于使车辆自动驾驶的电子控制装置(ECU：ElectronicControl Unit，电子控制单元)，包含具有运算电路(CPU)、存储器等的微型计算机而构成。

在主自动驾驶ECU3上，连接有检测(识别)车辆的外界信息的外界信息检测部(未图示)。外界信息检测部也被称为外界识别传感器，构成对车辆周围的物体的位置进行测量的物体位置测量装置。外界信息检测部例如可以使用立体照相机、单照相机等照相机(例如，数字照相机)和/或激光雷达、红外线雷达、毫米波雷达等雷达(例如，半导体激光器等发光元件以及接受该发光元件的光的受光元件)。另外，外界信息检测部例如也可以使用超声波传感器、红外线传感器等。即，外界信息检测部不限于照相机、雷达，可以使用能够识别(检测)成为车辆的周围的外界的状态的各种传感器(检测装置、测量装置、电波探测器)。

主自动驾驶ECU3与作为制动致动器的主致动器4、转向致动器、驱动致动器(加减速致动器)等各种致动器连接。主自动驾驶ECU3经由主通信线5与主致动器4连接。主通信线5将主自动驾驶ECU3和主致动器4(主致动器控制用ECU6)连接。主自动驾驶ECU3基于外界信息检测部等的信息，掌握车辆的周边状况，从包含车辆的行驶速度、车辆的轨道等的多个自动驾驶计划中提取最佳的自动驾驶计划。主自动驾驶ECU3将用于实现最佳的自动驾驶计划的指令输出到包括主致动器4的自动驾驶用致动器。即，主自动驾驶ECU3将包含制动要求的自动驾驶的指令向主致动器4、转向致动器、驱动致动器等各种致动器发送。由此，主自动驾驶ECU3实现自动驾驶控制。

作为主制动致动器的主致动器4具有按照主致动器控制用ECU6，通过使未图示的电动机(电动马达)工作而使车辆产生制动力的机构。例如，主致动器4由作为液压控制装置的电动增力装置构成，该液压控制装置通过控制(调整)作为主缸(未图示)的压力(液压)的主缸压力，来控制向轮缸(未图示)供给的液压(轮缸压力)。主缸是产生制动液压的液压源。轮缸设置在车辆的车轮侧，基于制动液压的供给来施加制动力。主缸和轮缸经由制动管路连接。

主致动器4具备主致动器控制用ECU6。主致动器4由主致动器控制用ECU6控制。即，主致动器控制用ECU6是控制主致动器4的电子控制装置(ECU)，包含具有运算电路(CPU)、存储器等的微型计算机、马达驱动电路而构成。主致动器控制用ECU6与安装在制动踏板2上的行程传感器7连接。行程传感器7检测成为驾驶员对制动踏板2的操作量的行程量，将与该行程量对应的信号输出到主致动器控制用ECU 6。需要说明的是，作为检测制动踏板2的操作量的传感器，不限于行程传感器7，例如可以使用检测踏板踏力的力传感器(载荷传感器)、检测制动踏板2的旋转角(倾斜)的角度传感器等能够检测制动踏板2的操作量(踩踏量)的各种传感器(操作检测传感器)。另外，制动踏板2的操作量可以由一个(一种)传感器检测，也可以由多个(多种)传感器检测。

主致动器控制用ECU6基于来自行程传感器7的输入信号(操作信号)计算驾驶员要求的制动力，基于该计算结果控制主致动器4，由此实现驾驶员的制动要求。进而，主致动器控制用ECU6经由主通信线5从主自动驾驶ECU3接收自动驾驶的制动要求，按照该制动要求来控制主致动器4，从而实现自动驾驶的制动要求。由此，主致动器4接受来自主自动驾驶ECU3的制动要求或者基于制动踏板2的操作的制动要求，对车辆施加制动力。

副自动驾驶ECU8具有与主自动驾驶ECU3相同的功能。副自动驾驶ECU8在自动驾驶中主自动驾驶ECU3发生了异常时，从主自动驾驶ECU3切换到副自动驾驶ECU8而继续自动驾驶控制。副自动驾驶ECU8也与主自动驾驶ECU3同样，是用于使车辆自动驾驶的电子控制装置(ECU)，包含具有运算电路(CPU)、存储器等的微型计算机而构成。需要说明的是，虽然省略了图示，但副自动驾驶ECU8和主自动驾驶ECU3例如也可以直接地能够通信地连接。另外，副自动驾驶ECU8和主自动驾驶ECU3例如也可以经由其他ECU、网关等间接地能够通信地连接。

在副自动驾驶ECU8上也与主自动驾驶ECU3同样，连接有也被称为外界识别传感器的外界信息检测部(未图示)。该外界信息检测部与和主自动驾驶ECU3连接的外界信息检测部同样，识别(检测)成为车辆的周围的外界的状态，由包括照相机、雷达等的各种传感器构成。在该情况下，在副自动驾驶ECU8上，例如，可以连接与连接到主自动驾驶ECU3的主外界信息检测部不同的副外界信息检测部。另外，能够在主自动驾驶ECU3和副自动驾驶ECU8上连接共同的外界信息检测部。例如，主自动驾驶ECU 3以及副自动驾驶ECU 8相对于相同的输入计算自动驾驶指令。另外，例如，即使在外界信息检测部的一部分存在故障的情况下，主自动驾驶ECU3和副自动驾驶ECU8双方接受副的传感器值，计算自动驾驶指令。

副自动驾驶ECU8经由副通信线10与副致动器9连接。副通信线10将副自动驾驶ECU8和副致动器9(副致动器控制用ECU11)连接。副自动驾驶ECU8基于外界信息检测部等的信息，掌握车辆的周边状况，从包含车辆的行驶速度、车辆的轨道等的多个自动驾驶计划中提取最佳的自动驾驶计划。副自动驾驶ECU8在主自动驾驶ECU3发生了异常时，将用于实现最佳的自动驾驶计划的指令输出到包括副致动器9的自动驾驶用致动器。由此，即使在主自动驾驶ECU3中发生了异常时，也能够继续自动驾驶控制。

作为副制动致动器的副致动器9具有按照副致动器控制用ECU11，通过使未图示的电动机(电动马达)、控制阀等工作而使制动力产生的机构。例如，副致动器9由作为液量控制装置的ESC(防止侧滑装置)构成，该液量控制装置通过控制向轮缸供给的液量(泵中流动的流量)来控制轮缸的压力(液压)即轮缸压力。

副致动器9具备副致动器控制用ECU11。副致动器9由副致动器控制用ECU11控制。即，副致动器控制用ECU11是控制副致动器9的电子控制装置(ECU)，包含具有运算电路(CPU)、存储器等的微型计算机、马达驱动电路而构成。副致动器控制用ECU11例如与未图示的车轮速传感器连接。副致动器控制用ECU 11例如基于在车辆行驶时车轮速传感器检测到的车轮速来控制副致动器9，由此进行必要的制动力的施加或解除。

另外，副致动器控制用ECU11在主致动器4异常时，经由制动通信线12接收由主致动器控制用ECU6计算出的驾驶员的制动要求，按照该制动要求来控制副致动器9，从而实现驾驶员的制动要求。另外，副致动器控制用ECU11在主致动器4异常时，经由副通信线10从副自动驾驶ECU8接收自动驾驶的制动要求，按照该制动要求来控制副致动器9，从而实现自动驾驶的制动要求。由此，副致动器9接受来自副自动驾驶ECU8的制动要求，对车辆施加制动力。

然而，在自动驾驶中，即使在发生了故障的情况下，在驾驶员恢复驾驶之前，或者在车辆停止之前，也需要继续自动驾驶。因此，自动制动器的系统需要设为冗余的结构。因此，在实施方式中，具备主系统(主自动驾驶ECU3以及主致动器4)和副系统(副自动驾驶ECU8以及副致动器9)。

在该情况下，例如，可以考虑在正常时通过主系统(主自动驾驶ECU3、主致动器4、行程传感器7)实现自动驾驶的制动要求和经由制动踏板2的驾驶员的制动要求，在主系统异常时，副系统(副自动驾驶ECU8、副致动器9)实现自动驾驶的制动要求。在这样的系统中，例如，可以考虑在发生了主自动驾驶ECU3的异常、或者主自动驾驶ECU3与主致动器4之间的通信(主通信线5)的异常的情况下，自动驾驶的制动要求由副致动器9实现，驾驶员的制动要求由主致动器4实现。

而且，在这样的异常时，也希望能够维持与正常时同样的制动性能。在此，例如，如果主致动器4和副致动器9完全相同，则认为在异常时也能够维持与正常时相同的制动性能。但是，例如，如果从成本方面考虑使副致动器9的制动性能比主致动器4的制动性能低，则异常时的自动制动的性能有可能相对于正常时降低。

因此，在第一实施方式中，即使在发生了主自动驾驶ECU3的异常或主通信线5的异常的情况下，如果主致动器4正常，则经由副致动器9实现副自动驾驶ECU8与主致动器4的通信，由主致动器4产生自动驾驶的制动要求(制动力)。由此，自动制动器能够维持与正常时同样的性能。即，主致动器控制用ECU6在自动驾驶中的主自动驾驶ECU3的异常或主通信线5的异常时，经由副通信线10、副致动器控制用ECU11、制动通信线12接收来自副自动驾驶ECU8的自动驾驶的制动要求，按照该制动要求来控制主致动器4。换而言之，在第一实施方式中，即使在自动驾驶中的主自动驾驶ECU3的异常或主通信线5的异常时，也通过主致动器4施加制动力。由此，例如，即使副致动器9的制动性能比主致动器4的制动性能低，在自动驾驶中的主自动驾驶ECU3的异常或主通信线5的异常时，也能够以与正常时相同的性能实现自动驾驶的制动要求。

即，在第一实施方式中，在主自动驾驶ECU3中，设置有制动要求调停控制部3C，该制动要求调停控制部3C根据自动驾驶的制动要求和基于制动踏板2的操作的驾驶员的制动要求来生成最终制动要求。在该情况下，设置在主自动驾驶ECU3中的制动要求调停控制部3C在存在来自主自动驾驶ECU3(的自动驾驶制动要求计算部3A)的自动驾驶的制动要求时，在存在基于制动踏板2的操作的驾驶员的制动要求的情况下，生成最终制动要求。另外，在副自动驾驶ECU8中也设置有制动要求调停控制部8C，该制动要求调停控制部8C根据自动驾驶的制动要求和基于制动踏板2的操作的驾驶员的制动要求来生成最终制动要求。在该情况下，设置在副自动驾驶ECU3中的制动要求调停控制部8C在存在来自副自动驾驶ECU8(的自动驾驶制动要求计算部3A)的自动驾驶的制动要求时，在存在基于制动踏板2的操作的驾驶员的制动要求的情况下，生成最终制动要求。

而且，设置在副自动驾驶ECU8中的制动要求调停控制部8C在主自动驾驶ECU3失效、存在来自副自动驾驶ECU8的自动驾驶的制动要求时，在存在基于制动踏板2的操作的驾驶员的制动要求的情况下，从主致动器4取得基于制动踏板2的操作的制动要求而生成最终制动要求，基于该最终制动要求，通过主致动器4对车辆施加制动力。换而言之，制动要求调停控制部8C在主自动驾驶ECU3失效、存在来自副自动驾驶ECU8的自动驾驶的制动要求时，在存在基于制动踏板2的操作的驾驶员的制动要求的情况下，根据“从主致动器4取得的基于制动踏板2的操作的制动要求”和“来自副自动驾驶ECU8(的自动驾驶制动要求计算部3A)的制动要求”生成最终制动要求，基于该最终制动要求通过主致动器4对车辆施加制动力。即，副自动驾驶ECU8在主自动驾驶ECU3失效的情况下，经由副致动器9(副致动器控制用ECU11)从主致动器4取得制动要求，通过主致动器4施加制动力。

图2是示出第一实施方式的制动系统的控制框图。主自动驾驶ECU3具备自动驾驶制动要求计算部3A、主通信接口3B(以下，称为主通信I/F 3B)、制动要求调停控制部3C。

自动驾驶制动要求计算部3A的输入侧与外界信息检测部连接，输出侧与制动要求调停控制部3C连接。自动驾驶制动要求计算部3A基于外部信息检测部等信息来计算成为自动驾驶的制动指令的制动要求。自动驾驶制动要求计算部3A将计算出的制动要求输出到制动要求调停控制部3C。

主通信I/F 3B是主自动驾驶ECU3的通信接口。主通信I/F 3B经由主通信线5与主致动器4(主致动器控制用ECU6)的主通信接口6C(以下，称为主通信I/F 6C)连接。由此，主自动驾驶ECU3经由主通信线5与主致动器4(主致动器控制用ECU6)连接。即，主自动驾驶ECU3和主致动器4(主致动器控制用ECU6)能够经由主通信线5相互通信。

制动要求调停控制部3C的输入侧与自动驾驶制动要求计算部3A连接。另外，制动要求调停控制部3C的输入侧经由主通信I/F 6C、主通信线5、主通信I/F 3B与主致动器4(主致动器控制用ECU6)的驾驶员制动要求计算部6B连接。制动要求调停控制部3C的输出侧经由主通信I/F 3B、主通信线5、主通信I/F 6C与主致动器4(主致动器控制用ECU6)的主自动驾驶ECU判定部6E连接。

制动要求调停控制部3C根据“从自动驾驶制动要求计算部3A输入的自动驾驶的制动要求”和“从主致动器控制用ECU6的驾驶员制动要求计算部6B输入的驾驶员的制动要求”生成(计算)最终制动要求。例如如图5所示，制动要求调停控制部3C将自动驾驶的制动要求(自动制动的制动要求)和驾驶员的制动要求(来自驾驶员的制动要求)调停(调整)为一个制动要求(目标制动力)，并将其输出。调停的控制有选择高控制、加法控制、自动制动优先控制、驾驶员操作优先控制等多个控制，但可以固定为任意一个控制，也可以根据行驶场景切换控制(也可以根据行驶场景从多个控制中选择任意一个控制)。制动要求调停控制部3C将最终制动要求(目标制动力)输出到主致动器控制用ECU6(主自动驾驶ECU判定部6E)。

接着，主致动器控制用ECU6具备传感器值取得部6A、驾驶员制动要求计算部6B、主通信I/F 6C、自动驾驶判定部6D、主自动驾驶ECU判定部6E、主致动器判定部6F、致动器控制部6G、制动通信接口6H(以下，称为制动通信I/F 6H)。

传感器值取得部6A的输入侧与行程传感器7连接，输出侧与驾驶员制动要求计算部6B连接。传感器值取得部6A将来自行程传感器7行程信号(检测信号)作为与驾驶员的制动踏板2的操作量对应的信号(驾驶员操作信号)输出到驾驶员制动要求计算部6B。

驾驶员制动要求计算部6B的输入侧与传感器值取得部6A连接。驾驶员制动要求计算部6B的输出侧经由主通信I/F 6C、主通信线5、主通信I/F 3B与主自动驾驶ECU3的制动要求调停控制部3C连接。另外，驾驶员制动要求计算部6B的输出侧经由制动通信I/F 6H、制动通信线12、副致动器9(副致动器控制用ECU11)的制动通信接口11E(以下，称为制动通信I/F11E)、副通信接口11A(以下，称为副通信)、副通信线10、副自动驾驶ECU8的副通信接口8B(以下，称为副通信I/F 8B)与副自动驾驶ECU8的制动要求调停控制部8C连接。而且，驾驶员制动要求计算部6B的输出侧经由制动通信I/F 6H、制动通信线12、制动通信I/F 11E与副致动器9(副致动器控制用ECU11)的自动驾驶判定部11B连接。

驾驶员制动要求计算部6B基于来自传感器值取得部6A的信号(驾驶员操作信号)，计算驾驶员的制动要求、即基于制动踏板2的操作的制动要求。由驾驶员制动要求计算部6B计算出的驾驶员的制动要求被输出到主自动驾驶ECU3的制动要求调停控制部3C和副自动驾驶ECU8的制动要求调停控制部8C双方。即，驾驶员的制动要求不仅输入到主自动驾驶ECU3的制动要求调停控制部3C，还输入到副自动驾驶ECU8的制动要求调停控制部8C。在该情况下，驾驶员的制动要求经由副致动器9(副致动器控制用ECU11)输入到副自动驾驶ECU8的制动要求调停控制部8C。即，驾驶员的制动要求从主致动器4(主致动器控制用ECU6)经由制动通信线12、副致动器9(副致动器控制用ECU11)、副通信线10输入到副自动驾驶ECU8(制动要求调停控制部8C)。

主通信I/F 6C是主致动器4(主致动器控制用ECU6)的通信接口。主通信I/F 6C经由主通信线5与主自动驾驶ECU3的主通信I/F 3B连接。由此，主致动器4(主致动器控制用ECU6)经由主通信线5与主自动驾驶ECU3连接。

自动驾驶判定部6D的输入侧与驾驶员制动要求计算部6B连接。另外，自动驾驶判定部6D的输入侧与主自动驾驶ECU判定部6E连接。自动驾驶判定部6D的输出侧与主致动器判定部6F连接。自动驾驶判定部6D判定是(自动驾驶工作中)否(自动驾驶非工作中)在自动驾驶中。自动驾驶判定部6D在判定为自动驾驶中(工作中)的情况下，将主自动驾驶ECU判定部6E和主致动器判定部6F连接。自动驾驶判定部6D在判定为不是自动驾驶中(非工作中)的情况下，将驾驶员制动要求计算部6B和主致动器判定部6F连接。

主自动驾驶ECU判定部6E的输入侧经由主通信I/F 3B、主通信线5、主通信I/F 6C与主自动驾驶ECU3的制动要求调停控制部3C连接。另外，主自动驾驶ECU判定部6E的输入侧经由副通信I/F 8B、副通信线10、副通信I/F 11A、制动通信I/F 11E、制动通信线12、制动通信I/F 6H与副自动驾驶ECU8的制动要求调停控制部8C连接。主自动驾驶ECU判定部6E的输出侧与自动驾驶判定部6D连接。主自动驾驶ECU判定部6E判定主自动驾驶ECU3(以及主通信线5)是正常还是不正常(异常)。主自动驾驶ECU判定部6E在判定为主自动驾驶ECU3(以及主通信线5)正常的情况下，将主自动驾驶ECU3的制动要求调停控制部3C与自动驾驶判定部6D连接。主自动驾驶ECU判定部6E在判定为主自动驾驶ECU3(或主通信线5)不正常(异常)的情况下，将副自动驾驶ECU8的制动要求调停控制部8C与自动驾驶判定部6D连接。

主致动器判定部6F的输入侧与自动驾驶判定部6D连接，输出侧与致动器控制部6G连接。主致动器判定部6F判定主致动器4是正常还是不正常(异常)。主致动器判定部6F在判定为主致动器4正常的情况下，将自动驾驶判定部6D与致动器控制部6G连接。在该情况下，能够经由主致动器判定部6F将制动要求输入到致动器控制部6G，能够通过主致动器4对车辆施加制动力。另一方面，主致动器判定部6F在判定为主致动器4不正常(异常)的情况下，切断自动驾驶判定部6D与致动器控制部6G的连接，将控制停止部与致动器控制部6G连接。在该情况下，制动要求不输入到致动器控制部6G，主致动器4停止。

致动器控制部6G与主致动器判定部6F连接。致动器控制部6G基于来自驾驶员制动要求计算部6B的制动要求、来自主自动驾驶ECU3的制动要求调停控制部3C的制动要求、来自副自动驾驶ECU8的制动要求调停控制部8C的制动要求中的任意一个制动要求，控制(驱动)主致动器4，对车辆施加制动力。致动器控制部6G在与主致动器判定部6F的控制停止部连接时，停止主致动器4的控制(驱动)。与此相对，致动器控制部6G在经由主致动器判定部6F与自动驾驶判定部6D连接时，基于输入到致动器控制部6G的制动要求，控制(驱动)主致动器4。

制动通信I/F 6H是与主通信I/F 6C不同的通信接口。制动通信I/F 6H经由制动通信线12与副致动器9(副致动器控制用ECU11)的制动通信I/F11E连接。由此，主致动器4(主致动器控制用ECU6)经由制动通信线12与副致动器9(副致动器控制用ECU11)连接。即，主致动器4(主致动器控制用ECU6)和副致动器9(副致动器控制用ECU11)能够经由制动通信线12相互通信。

接着，副自动驾驶ECU8具备自动驾驶制动要求计算部8A、副通信I/F8B、制动要求调停控制部8C。

自动驾驶制动要求计算部8A的输入侧与外界信息检测部连接，输出侧与制动要求调停控制部8C连接。自动驾驶制动要求计算部8A与主自动驾驶ECU3的自动驾驶制动要求计算部3A同样，基于外部信息检测部等信息来计算成为自动驾驶的制动指令的制动要求。自动驾驶制动要求计算部8A将计算出的制动要求输出到制动要求调停控制部8C。

副通信I/F 8B是副自动驾驶ECU8的通信接口。副通信I/F 8B经由副通信线10与副致动器9(副致动器控制用ECU11)的副通信I/F 11A连接。由此，副自动驾驶ECU8经由副通信线10与副致动器9(副致动器控制用ECU11)连接。即，副自动驾驶ECU8和副致动器9(副致动器控制用ECU11)能够经由副通信线10相互通信。

制动要求调停控制部8C的输入侧与自动驾驶制动要求计算部8A连接。另外，制动要求调停控制部8C的输入侧经由制动通信I/F 6H、制动通信线12、副致动器9(副致动器控制用ECU11)的制动通信I/F 11E、副通信I/F 11A、副通信线10、副通信I/F 8B与主致动器4(主致动器控制用ECU6)的驾驶员制动要求计算部6B连接。制动要求调停控制部8C的输出侧经由副通信I/F 8B、副通信线10、副致动器9(副致动器控制用ECU11)的副通信I/F 11A、制动通信I/F 11E、制动通信线12、制动通信I/F 6H与主致动器4(主致动器控制用ECU6)的主自动驾驶ECU判定部6E连接。另外，制动要求调停控制部8C的输出侧经由副通信I/F 8B、副通信线10、副通信I/F 11A与副致动器9(副致动器控制用ECU11)的自动驾驶判定部11B连接。

制动要求调停控制部8C根据从“自动驾驶制动要求计算部8A输入的自动驾驶的制动要求”和“从主致动器控制用ECU6的驾驶员制动要求计算部6B输入的驾驶员的制动要求”生成(计算)最终制动要求。即，制动要求调停控制部8C与主自动驾驶ECU3的制动要求调停控制部3C同样，将自动驾驶的制动要求(自动制动的制动要求)和驾驶员的制动要求(来自驾驶员的制动要求)调停为一个最终制动要求(目标制动力)，将该最终制动要求输出到副致动器控制用ECU11(自动驾驶判定部11B)、或者经由副致动器9(副致动器控制用ECU11)、制动通信线12输出到主致动器控制用ECU6(主自动驾驶判定部6E)。

接着，副致动器控制用ECU11具备副通信I/F 11A、自动驾驶判定部11B、主致动器判定部11C、致动器控制部11D、制动通信I/F 11E。

副通信I/F 11A是副致动器9(副致动器控制用ECU11)的通信接口。副通信I/F 11A经由副通信线10与副自动驾驶ECU8的副通信I/F 8B连接。由此，副致动器9(副致动器控制用ECU11)经由副通信线10与副自动驾驶ECU8连接。

自动驾驶判定部11B的输入侧经由副通信I/F 8B、副通信线10、副通信I/F 11A与副自动驾驶ECU8的制动要求调停控制部8C连接。另外，自动驾驶判定部11B的输入侧经由制动通信I/F 6H、制动通信线12、制动通信I/F11E与主致动器4(主致动器控制用ECU6)的驾驶员制动要求计算部6B连接。自动驾驶判定部11B的输出侧与主致动器判定部11C连接。自动驾驶判定部11B判定是(自动驾驶工作中)否(自动驾驶非工作中)在自动驾驶中。自动驾驶判定部11B在判定为自动驾驶中(工作中)的情况下，将副自动驾驶ECU8的制动要求调停控制部8C与主致动器判定部11C连接。自动驾驶判定部11B在判定为不是自动驾驶中(非工作中)的情况下，将主致动器4(主致动器控制用ECU6)的驾驶员制动要求计算部6B和主致动器判定部11C连接。

主致动器判定部11C的输入侧与自动驾驶判定部11B连接，输出侧与致动器控制部11D连接。主致动器判定部11C判定主致动器4是正常还是不正常(异常)。主致动器判定部11C在判定为主致动器4不正常(异常)的情况下，将自动驾驶判定部11B与致动器控制部11D连接。在该情况下，能够经由主致动器判定部11C将制动要求输入到致动器控制部11D，能够通过副致动器9对车辆施加制动力。另一方面，主致动器判定部11C在判定为主致动器4正常的情况下，切断自动驾驶判定部11B与致动器控制部11D的连接，将控制停止部与致动器控制部11D连接。在该情况下，制动要求不输入到致动器控制部11D，副致动器9停止。

致动器控制部11D与主致动器判定部11C连接。致动器控制部11D基于来自主致动器4(主致动器控制用ECU6)的驾驶员制动要求计算部6B的制动要求、来自副自动驾驶ECU8的制动要求调停控制部8C的制动要求中的任意一个制动要求，控制(驱动)副致动器9，对车辆施加制动力。致动器控制部11D在与主致动器判定部11C的控制停止部连接时，停止副致动器9的控制(驱动)。与此相对，致动器控制部11D在经由主致动器判定部11C与自动驾驶判定部11E连接时，基于输入到致动器控制部11D的制动要求，控制(驱动)副致动器9。

制动通信I/F 11E是与副通信I/F 11A不同的通信接口。制动通信I/F 11E经由制动通信线12与主致动器4(主致动器控制用ECU6)的制动通信I/F 6H连接。由此，副致动器9(副致动器控制用ECU11)经由制动通信线12与主致动器4(主致动器控制用ECU6)连接。

实施方式的四轮汽车的制动系统具有如上所述的结构，接着，对其工作进行说明。

首先，对正常时的基于驾驶员的操作(手动操作、制动操作)施加制动力进行说明。在该情况下，主致动器4(主致动器控制用ECU6)基于从传感器值取得部6A得到的值，由驾驶员制动要求计算部6B计算制动要求(来自驾驶员的制动要求)。计算出的驾驶员的制动要求输入到主致动器控制用ECU6的致动器控制部6G。由此，能够通过致动器控制部6G使主致动器4工作，施加与驾驶员的制动操作对应的制动力。

另一方面，在主致动器4中发生了异常的情况下，由主致动器控制用ECU6的驾驶员制动要求计算部6B计算出的驾驶员的制动要求经由制动通信线12输入到副致动器控制用ECU11的致动器控制部11D。由此，能够通过致动器控制部6G使副致动器9工作，施加与驾驶员的制动操作对应的制动力。

与此相对，在正常时的自动驾驶中，主自动驾驶ECU3由制动要求调停控制部3C调停“来自自动驾驶制动要求计算部3A的制动要求(自动制动要求)”和“基于从传感器值取得部6A得到的值由驾驶员制动要求计算部6B计算出的制动要求(来自驾驶员的制动要求)”。如上所述，在主自动驾驶ECU3的制动要求调停控制部3C中，例如如图5所示，将输入的两个制动要求(自动制动要求、来自驾驶员的制动要求)调停为一个制动要求(目标制动力)，并将其输出。调停的控制有选择高(セレクトハイ)控制、加法控制、自动制动优先控制、驾驶员操作优先控制等多个控制，但可以固定为任意一个控制，也可以根据行驶场景切换控制(也可以根据行驶场景从多个控制中选择任意一个控制)。制动要求调停控制部3C通过调停自动制动要求和来自驾驶员的制动要求来生成最终制动要求，并输出该最终制动要求。

正常时，从主自动驾驶ECU3的制动要求调停控制部3C输出的调停后的制动要求(最终制动要求)经由主通信线5输入到主致动器控制用ECU6的致动器控制部6G。由此，通过致动器控制部6G使主致动器4工作，能够实现调停控制。即，制动要求调停控制部3C能够经由致动器控制部6G通过主致动器4施加与调停后的制动要求(最终制动要求)对应的制动力。

另一方面，在自动驾驶中主自动驾驶ECU3或主通信线5发生了异常的情况下，由主致动器控制用ECU6的驾驶员制动驾驶求计算部6B计算出的制动要求经由制动通信线12、副致动器控制用ECU11、副通信线10输入到副自动驾驶ECU8的制动要求调停控制部8C。另外，来自副自动驾驶ECU8的自动驾驶制动要求计算部8A的制动要求也输入到副自动驾驶ECU8的制动要求调停控制部8C。副自动驾驶ECU8的制动要求调停控制部8C与主自动驾驶ECU3的制动要求调停控制部3C同样(例如如图5所示)，将两个制动要求调停为一个制动要求(目标制动力)，并将其输出。即，制动要求调停控制部8C通过调停自动制动要求和来自驾驶员的制动要求来生成最终制动要求，并输出该最终制动要求。

从副自动驾驶ECU8的制动要求调停控制部8C输出的调停后的制动要求(最终制动要求)经由副通信线10、副致动器控制用ECU11、制动通信线12输入到主致动器控制用ECU6的致动器控制部6G。由此，在发生了异常的情况下，也能够通过致动器控制部6G使主致动器4工作，实现调停控制。即，副自动驾驶ECU8的制动要求调停控制部8C在主自动驾驶ECU3或主通信线5发生了异常的情况下，能够经由致动器控制部6G通过主致动器4施加与调停后的制动要求(最终制动要求)对应的制动力。

为了进行这样的制动要求的调停控制处理，在主致动器控制用ECU6以及副致动器控制用ECU11的存储器中，存储有用于执行图3以及图4所示的处理流程的处理程序、即用于调停控制处理的处理程序。因此，参照图3以及图4的流程图(flow chart，流程图)对由主致动器控制用ECU6以及副致动器控制用ECU11进行的控制处理进行说明。需要说明的是，图4是示出图3“A”之后的处理的流程图。另外，图3以及图4的控制处理以规定的控制周期(例如，10msec)反复执行。

当开始图4的控制处理时，在S1中判定是否为自动驾驶中。关于是否为自动驾驶中，例如可以根据从主自动驾驶ECU3或副自动驾驶ECU8输出的信号(通信数据)等来判定。在S1中判定为“是”、即自动驾驶中的情况下，进入S2。与此相对，在S1中判定为“否”、即不是自动驾驶中的情况下，经由图3的“A”以及图4的“A”进入S3。在S2中，判定主致动器4是否正常。关于是否正常，例如可以根据自我诊断处理的结果、自校验(self-check)信号等来判定。在S2中判定为“是”、即主致动器4正常的情况下，进入S4。与此相对，在S2中判定为“否”、即主致动器4不正常(异常)的情况下，进入S5，返回。即，从S5经由返回而回到开始，重复S1以后的处理。在S3中，判定主致动器4是否正常。在S3中判定为“是”、即主致动器4正常的情况下，进入S6，返回。在该情况下，经由图4的“B”以及图3的“B”返回。与此相对，在S3中判定为“否”、即主致动器4不正常(异常)的情况下，进入S7，返回。在S4中，判定主自动驾驶ECU3以及主通信线5是否正常。关于是否正常，例如可以根据从主自动驾驶ECU3输出的信号(通信数据)或者该信号的有无等来判定。在S4中判定为“是”、即主自动驾驶ECU3以及主通信线路5正常的情况下，进入S8，返回。在S4中判定为“否”、即主自动驾驶ECU3或主通信线路5不正常的情况下，进入S9，返回。

S5与自动驾驶中、且主致动器4不正常的情况对应。在该情况下，将主致动器4设为控制停止，通过副致动器9实现自动驾驶的制动要求。副致动器9按照从副自动驾驶ECU8的制动要求调停控制部8C输出的制动要求(最终制动要求)而被驱动。在该情况下，主致动器4(主致动器控制用ECU6)的驾驶员制动要求计算部6B和副自动驾驶ECU8的制动要求调停控制部8C经由制动通信I/F 6H、制动通信线12、制动通信I/F 11E、副通信I/F 11A、副通信线10、副通信I/F 8B连接。由此，与从驾驶员制动要求计算部6B输出的驾驶员的制动要求对应的信号从主致动器4(主致动器控制用ECU6)经由制动通信线12、副致动器9(副致动器控制用ECU11)、副通信线10发送到副自动驾驶ECU8。另外，副自动驾驶ECU8的制动要求调停控制部8C经由副通信I/F 8B、副通信线10、副通信I/F 11A、自动驾驶判定部11B、主致动器判定部11C与致动器控制部11D连接。由此，与最终制动要求对应的信号从副自动驾驶ECU8发送到副通信线10、副致动器9(副致动器控制用ECU11)。

S6与非自动驾驶中、且主致动器4正常的情况对应。在该情况下，将副致动器9设为控制停止，通过主致动器4实现来自驾驶员的制动要求。主致动器4按照从驾驶员制动要求计算部6B输出的制动要求(驾驶员的制动要求)而被驱动。在该情况下，驾驶员制动要求计算部6B经由自动驾驶判定部6D、主致动器判定部6F与致动器控制部6G连接。

S7与非自动驾驶中、且主致动器4不正常的情况对应。在该情况下，将主致动器4设为控制停止，通过副致动器9实现来自驾驶员的制动要求。副致动器9按照从驾驶员制动要求计算部6B输出的制动要求(驾驶员的制动要求)而被驱动。在该情况下，驾驶员制动要求计算部6B经由制动通信I/F 6H、制动通信线12、制动通信I/F 11E、自动驾驶判定部11B、主致动器判定部11C与致动器控制部11D连接。由此，与驾驶员的制动要求对应的信号从主致动器4(主致动器控制用ECU6)经由制动通信线12发送到副致动器9(副致动器控制用ECU11)。

S8与自动驾驶中、主致动器4正常、且主自动驾驶ECU3以及主通信线5正常的情况对应。在该情况下，将副致动器9设为控制停止，通过主致动器4实现自动驾驶的制动要求。主致动器4按照从主自动驾驶ECU3的制动要求调停控制部3C输出的制动要求(最终制动要求)而被驱动。在该情况下，主致动器4(主致动器控制用ECU6)的驾驶员制动要求计算部6B和主自动驾驶ECU3的制动要求调停控制部3C经由主通信I/F 6C、主通信线5、主通信I/F 3B连接。由此，与从驾驶员制动要求计算部6B输出的驾驶员的制动要求对应的信号从主致动器4(主致动器控制用ECU6)经由主通信线5发送到主自动驾驶ECU3。另外，主自动驾驶ECU3的制动要求调停控制部3C经由主通信I/F 3B、主通信线5、主通信I/F 6C、主自动驾驶ECU判定部6E、自动驾驶判定部6D、主致动器判定部6F与致动器控制部6G连接。即，与最终制动要求对应的信号从主自动驾驶ECU3经由主通信线5发送到主致动器4(主致动器控制用ECU6)。

S9与自动驾驶中、主致动器4正常、且主自动驾驶ECU3或主通信线5不正常的情况对应。在该情况下，将副致动器9设为控制停止，通过主致动器4实现自动驾驶的制动要求。主致动器4按照从副自动驾驶ECU8的制动要求调停控制部8C输出的制动要求(最终制动要求)而被驱动。在该情况下，主致动器4(主致动器控制用ECU6)的驾驶员制动要求计算部6B和副自动驾驶ECU8的制动要求调停控制部8C经由制动通信I/F 6H、制动通信线12、制动通信I/F 11E、副通信I/F 11A、副通信线10、副通信I/F 8B连接。由此，与从驾驶员制动要求计算部6B输出的驾驶员的制动要求对应的信号从主致动器4(主致动器控制用ECU6)经由制动通信线12、副致动器9(副致动器控制用ECU11)、副通信线10发送到副自动驾驶ECU8。另外，副自动驾驶ECU8的制动要求调停控制部8C经由副通信I/F 8B、副通信线10、副通信I/F11A、制动通信I/F 11E、制动通信线12、制动通信I/F 6H、主自动驾驶ECU判定部6E、自动驾驶判定部6D、主致动器判定部6F与致动器控制部6G连接。由此，与最终制动要求对应的信号从副自动驾驶ECU8经由副通信线10、副致动器9(副致动器控制用ECU11)、制动通信线12发送到主致动器4(主致动器控制用ECU6)。

如上所述，根据第一实施方式，在主自动驾驶ECU 3或主通信线5失效的情况下，能够基于由副自动驾驶ECU8的制动要求调停控制部8C生成的最终制动要求，通过主致动器4对车辆施加制动力。因此，在异常时(失效时)也能够继续与正常时同样的制动性能。而且，在主自动驾驶ECU3或主通信线5失效的情况下，副自动驾驶ECU8(的制动要求调停控制部8C)不通过副致动器9，而是通过主致动器4施加制动力。在该情况下，副自动驾驶ECU8(的制动要求调停控制部8C)从主致动器4(主致动器控制用ECU6的驾驶员制动要求计算部6B)取得基于制动踏板2的操作的制动要求而生成最终制动要求，基于该最终制动要求通过主致动器4对车辆施加制动力。

即，副自动驾驶ECU8(的制动要求调停控制部8C)经由副致动器9(副致动器控制用ECU11)从主致动器4(主致动器控制用ECU6的驾驶员制动要求计算部6B)取得制动要求，通过主致动器4施加制动力。因此，即使例如从成本方面考虑使副致动器9的性能比主致动器4的性能低，也能够在异常时继续与正常时同样的制动性能。另外，由于不仅在主自动驾驶ECU3中，而且在副自动驾驶ECU8中设置制动要求调停控制部8C，因此在主自动驾驶ECU3或主通信线路5失效的情况下，能够继续与正常时相同的制动性能。

而且，即使同时产生自动驾驶的制动要求和基于驾驶员的制动要求，也不会由不同的致动器4、9独立地产生与各制动要求对应的制动力。即，能够仅通过一个致动器4(9)进行控制。因此，能够与正常时同样地实现调停两个要求的控制。

接着，图6以及图7示出了第二实施方式。第二实施方式的特征在于，在第一车辆控制装置失效了时，调停部设为通过第二致动器对车辆施加制动力的结构。需要说明的是，在第二实施方式中，对与第一实施方式相同的结构要素赋予相同的附图标记，并省略其说明。

在前述的第一实施方式中，在自动驾驶中主自动驾驶ECU3或主通信线5失效了的情况下，通过主致动器4产生制动力。与此相对，在第二实施方式中，在自动驾驶中主自动驾驶ECU3或主通信线5失效了的情况下，通过副致动器9产生制动力。根据该结构，能够在抑制通信线(制动通信线12)的负担的同时继续自动驾驶。

图6是示出第二实施方式的制动系统的控制框图。主致动器控制用ECU6具备传感器值取得部6A、驾驶员制动要求计算部6B、主通信I/F 6C、自动驾驶判定部6D、主自动驾驶ECU判定部21、主致动器判定部6F、致动器控制部6G、制动通信I/F 6H。在第二实施方式中，主致动器控制用ECU6(制动通信I/F 6H)和副致动器控制用ECU11(制动通信I/F 11E)通过单向通信的制动通信线12连接。即，制动通信线12将来自主致动器控制用ECU6的信号(驾驶员的制动要求)发送到副致动器控制用ECU11。

主自动驾驶ECU判定部21的输入侧经由主通信I/F 3B、主通信线5、主通信I/F 6C与主自动驾驶ECU3的制动要求调停控制部3C连接。主自动驾驶ECU判定部21的输出侧与自动驾驶判定部6D连接。主自动驾驶ECU判定部21判定主自动驾驶ECU3(以及主通信线5)是正常还是不正常(异常)。主自动驾驶ECU判定部21在判定为主自动驾驶ECU3正常的情况下，将主自动驾驶ECU3的制动要求调停控制部3C与自动驾驶判定部6D连接。主自动驾驶ECU判定部21在判定为主自动驾驶ECU3不正常(异常)的情况下，切断制动要求调停控制部3C与自动驾驶判定部6D的连接，将控制停止部与致动器控制部6G连接。在该情况下，自动驾驶的制动要求不输入到致动器控制部6G。

接着，副致动器控制用ECU11具备副通信I/F 11A、主自动驾驶ECU判定部22、第一主致动器判定部23、第二主致动器判定部24、自动驾驶判定部25、致动器控制部11D、制动通信I/F 11E。主自动驾驶ECU判定部22的输入侧经由副通信I/F 8B、副通信线10、副通信I/F11A与副自动驾驶ECU8的制动要求调停控制部8C连接。主自动驾驶ECU判定部22的输出侧与第二主致动器判定部24连接。主自动驾驶ECU判定部22判定主自动驾驶ECU3(以及主通信线5)是正常还是不正常(异常)。主自动驾驶ECU判定部22在判定为主自动驾驶ECU3不正常(异常)的情况下，将副自动驾驶ECU8的制动要求调停控制部8C与第二主致动器判定部24连接。主自动驾驶ECU判定部22在判定为主自动驾驶ECU3正常的情况下，切断制动要求调停控制部8C与第二主致动器判定部24的连接，将控制停止部与第二主致动器判定部24连接。

第一主致动器判定部23的输入侧经由制动通信I/F 6H、制动通信线12、制动通信I/F 11E与主致动器4(主致动器控制用ECU6)的驾驶员制动要求计算部6B连接。第一主致动器判定部23的输出侧与自动驾驶判定部25连接。第一主致动器判定部23判定主致动器4是正常还是不正常(异常)。第一主致动器判定部23在判定为主致动器4正常的情况下，切断驾驶员制动要求计算部6B与自动驾驶判定部25的连接，将控制停止部与自动驾驶判定部25连接。第一主致动器判定部23在判定为主致动器4不正常的情况下，将驾驶员制动要求计算部6B与自动驾驶判定部25连接。

第二致动器判定部24的输入侧经由副通信I/F 8B、副通信线10、副通信I/F 11A与副自动驾驶ECU8的制动要求调停控制部8C连接。另外，第二主致动器判定部24的输入侧与主自动驾驶ECU判定部22连接。第二主致动器判定部24的输出侧与自动驾驶判定部25连接。第二主致动器判定部24判定主致动器4是正常还是不正常(异常)。第二主致动器判定部24在判定为主致动器4不正常的情况下，将主自动驾驶ECU判定部22与自动驾驶判定部25连接。第二主致动器判定部24在判定为主致动器4不正常的情况下，将副自动驾驶ECU8的制动要求调停控制部8C与自动驾驶判定部25连接。

自动驾驶判定部25的输入侧与第一主致动器判定部23连接。另外，自动驾驶判定部25的输入侧与第二主致动器判定部24连接。自动驾驶判定部25的输出侧与致动器控制部11D连接。自动驾驶判定部25判定是(自动驾驶工作中)否(自动驾驶非工作中)在自动驾驶中。自动驾驶判定部25在判定为自动驾驶中(工作中)的情况下，将第二主致动器判定部24与致动器控制部11D连接。自动驾驶判定部25在判定为不是自动驾驶中(非工作中)的情况下，将第一主致动器判定部23与致动器控制部11D连接。

在第二实施方式中，在自动驾驶中主自动驾驶ECU3或主通信线5发生了异常的情况下，将控制停止的要求输入到主致动器控制用ECU6的致动器控制部6G，停止主致动器4的控制。另外，由主致动器控制用ECU6的驾驶员制动要求计算部6B计算出的制动要求经由制动通信线12、副致动器控制用ECU11、副通信线10输入到副自动驾驶ECU8的制动要求调停控制部8C。另外，来自副自动驾驶ECU8的自动驾驶制动要求计算部8A的制动要求也输入到副自动驾驶ECU8的制动要求调停控制部8C。制动要求调停控制部8C将两个制动要求调停为一个制动要求(目标制动力)，并将其输出。从副自动驾驶ECU8的制动要求调停控制部8C输出的调停后的制动要求经由副通信线10输入到副致动器控制用ECU11的致动器控制部11D。由此，在发生了异常的情况下，能够通过致动器控制部11D使副致动器9工作，实现调停控制。即，副自动驾驶ECU8的制动要求调停控制部8C在主自动驾驶ECU3或主通信线5中发生了异常的情况下，能够经由致动器控制部11D通过副致动器9施加与调停后的制动要求(最终制动要求)对应的制动力。

为了进行这样的制动要求的调停控制处理，在主致动器控制用ECU6以及副致动器控制用ECU11的存储器中，存储有用于执行图7以及图4所示的处理流程的处理程序、即用于调停控制处理的处理程序。需要说明的是，图7中的S1、S2、S4、S5、S8的处理与上述图3中的S1、S2、S4、S5、S8的处理相同，因此省略其说明。

S11与自动驾驶中、主致动器4正常、且主自动驾驶ECU3或主通信线5不正常的情况对应。在该情况下，将主致动器4设为控制停止，通过副致动器9实现自动驾驶的制动要求。副致动器9按照从副自动驾驶ECU8的制动要求调停控制部8C输出的制动要求(最终制动要求)而被驱动。在该情况下，主致动器4(主致动器控制用ECU6)的驾驶员制动要求计算部6B和副自动驾驶ECU8的制动要求调停控制部8C经由制动通信I/F 6H、制动通信线12、制动通信I/F 11E、副通信I/F 11A、副通信线10、副通信I/F 8B连接。由此，与从驾驶员制动要求计算部6B输出的驾驶员的制动要求对应的信号从主致动器4(主致动器控制用ECU6)经由制动通信线12、副致动器9(副致动器控制用ECU11)、副通信线10发送到副自动驾驶ECU8。另外，副自动驾驶ECU8的制动要求调停控制部8C经由副通信I/F 8B、副通信线路10、副通信I/F11A、主自动驾驶ECU判定部22、第二主致动器判定部24、自动驾驶判定部25与致动器控制部11D连接。由此，与最终制动要求对应的信号从副自动驾驶ECU8发送到副通信线10、副致动器9(副致动器控制用ECU11)。

第二实施方式是如上所述通过主致动器4(主致动器控制用ECU6)以及副致动器9(副致动器控制用ECU11)施加制动力的实施方式，关于其基本作用，与基于上述的第一实施方式的实施方式相比没有特别的差异。根据第二实施方式，与第一实施方式相比，能够在抑制制动通信线12的负担的同时继续自动驾驶。

接着，图8至图11示出了第三实施方式。第三实施方式的特征在于，设为经由网关将主通信线和副通信线连接的结构。需要说明的是，在第三实施方式中，对与第一实施方式相同的结构要素赋予相同的附图标记，并省略其说明。

在上述第一实施方式以及第二实施方式中，主通信线5和副通信线10设为独立的结构，使得不会由于一方的通信线的断线等故障而导致另一方的通信线不能使用。与此相对，如第三实施方式那样，也可以设为经由网关31将主通信线5和副通信线10连接的结构。在该情况下，通过经由网关31，即使在一方的通信线中发生异常，也能够避免对另一方的通信线的影响。通过采用这样的结构，副自动驾驶ECU8能够取得主通信线5上的信号，因此在正常时，能够基于来自主自动驾驶ECU3的指令，进行副致动器9的控制(例如，防止侧滑控制)。

如图8所示，主通信线5和副通信线10经由网关31连接。即，主通信线5经由主侧连接线32与网关31连接，副通信线10经由副侧连接线33与网关31连接。

图9是示出第三实施方式的制动系统的控制框图。网关31经由主侧连接线32，与将主通信线5中的主致动器4(主致动器控制用ECU6)的输出输入到主自动驾驶ECU3的线5A连接。另外，网关31经由主侧连接线32，与主致动器4(主致动器控制用ECU6)的主通信I/F 6C连接。另一方面，网关31经由副侧连接线33，与将副通信线10中的副自动驾驶ECU8的输出输入到副致动器9(副致动器控制用ECU11)的线10A连接。另外，网关31经由副侧连接线33，与副自动驾驶ECU 8的副通信I/F 8B连接。

主致动器控制用ECU6除了传感器值取得部6A、驾驶员制动要求计算部6B、主通信I/F 6C、自动驾驶判定部6D、主自动驾驶ECU判定部6E、主致动器判定部6F、致动器控制部6G、制动通信I/F 6H以外，还具备主通信/GW判定部34。

主通信/GW判定部34的输入侧经由副通信I/F 8B、副通信线10、副侧连接线33、网关31、主侧连接线32、主通信I/F 6C与副自动驾驶ECU8的制动要求调停控制部8C连接。将该路径设为第一路径。另外，主通信/GW判定部34的输入侧经由副通信I/F 8B、副通信线10、副通信I/F 11A、制动通信I/F 11E、制动通信线12、制动通信I/F 6H与副自动驾驶ECU8的制动要求调停控制部8C连接。将该路径设为第二路径。主通信/GW判定部34的输出侧与主自动驾驶ECU判定部6E连接。主通信/GW判定部34判定主通信线5以及网关31是正常还是不正常(异常)。主通信/GW判定部34在判定为主通信线5以及网关31正常的情况下，通过第一路径将副自动驾驶ECU8的制动要求调停控制部8C与主自动驾驶ECU判定部6E连接。主通信/GW判定部34在判定为主通信线5以及网关31不正常(异常)的情况下，通过第二路径将副自动驾驶ECU8的制动要求调停控制部8C与主自动驾驶ECU判定部6E连接。

接着，副自动驾驶ECU8除了自动驾驶制动要求计算部8A、副通信I/F8B、制动要求调停控制部8C以外，还具备主通信/GW判定部35。主通信/GW判定部35的输入侧经由主通信I/F 6C、主通信线5(5A)、主侧连接线32、网关31、副侧连接线33、副通信线10、副通信I/F 8B与主致动器4(主致动器控制用ECU6)的驾驶员制动要求计算部6B连接。将该路径设为第三路径。另外，主通信/GW判定部35的输入侧经由制动通信I/F 6H、制动通信线12、副致动器9(副致动器控制用ECU11)的制动通信I/F 11E、副通信I/F 11A、副通信线10、副通信I/F 8B与主致动器4(主致动器控制用ECU6)的驾驶员制动要求计算部6B连接。将该路径设为第四路径。主通信/GW判定部35的输出侧与制动要求调停控制部8C连接。主通信/GW判定部35判定主通信线5以及网关31是正常还是不正常(异常)。主通信/GW判定部35在判定为主通信线5以及网关31正常的情况下，通过第三路径将主致动器4(主致动器控制用ECU6)的驾驶员制动要求计算部6B与副自动驾驶ECU8的制动要求调停控制部8C连接。主通信/GW判定部35在判定为主通信线5以及网关31不正常(异常)的情况下，通过第四路径将主致动器4(主致动器控制用ECU6)的驾驶员制动要求计算部6B与副自动驾驶ECU8的制动要求调停控制部8C连接。

在第三实施方式中，由主致动器控制用ECU6的驾驶员制动要求计算部6B计算出的制动要求经由主通信线5(线5A)、网关31、副通信线10(副侧连接线33)输入到副自动驾驶ECU8的制动要求调停控制部8C。另外，来自副自动驾驶ECU8的自动驾驶制动要求计算部8A的制动要求也输入到副自动驾驶ECU8的制动要求调停控制部8C。制动要求调停控制部8C将两个制动要求调停为一个制动要求(目标制动力)，并将其输出。从副自动驾驶ECU8的制动要求调停控制部8C输出的调停后的制动要求经由副通信线10(副侧连接线33)、网关31、主通信线5(主侧连接线32)输入到主致动器控制用ECU6的致动器控制部6G。由此，通过致动器控制部6G使主致动器4工作，能够实现调停控制。

在第三实施方式中，在自动驾驶中主自动驾驶ECU3或主通信线5(更具体而言，将主自动驾驶ECU3的输出输入到主致动器控制用ECU6的线5B)发生了异常的情况下，由主致动器控制用ECU6的驾驶员制动要求计算部6B计算出的制动要求、和从副自动驾驶ECU8的制动要求调停控制部8C输出的调停后的制动要求，可以不经由副致动器控制用ECU11而经由网关31输出到外部ECU。即，能够将由主致动器控制用ECU6的驾驶员制动要求计算部6B计算出的制动要求不经由副致动器控制用ECU11而经由网关31输出到副自动驾驶ECU8。另外，能够将从副自动驾驶ECU8的制动要求调停控制部8C输出的调停后的制动要求不经由副致动器控制用ECU11而经由网关31输出到主致动器控制用ECU6。

为了进行这样的制动要求的调停控制处理，在主致动器控制用ECU6以及副致动器控制用ECU11的存储器中，存储有用于执行图10、图11以及图4所示的处理流程的处理程序、即用于调停控制处理的处理程序。需要说明的是，图11是示出图10的“C”、“D”、图4的“B”之后的处理的流程图。另外，图10中的S1、S2、S8、图11中的S5的处理与上述图3中的S1、S2、S5、S8的处理相同，因此省略其说明。

当在S2中判定为“是”时，进入S21。在S21中，判定主通信线5是否正常。在S21中判定为“是”、即主通信线5正常的情况下，进入S22。与此相对，在S21中判定为“否”、即主通信线5不正常的情况下，经由图10的“D”以及图11的“D”进入S23。在S22中，判定主自动驾驶ECU3是否正常。在S21中判定为“是”、即主自动驾驶ECU3正常的情况下，进入S8。与此相对，在S22中判定为“否”、即主自动驾驶ECU3不正常的情况下，进入S24。

S23与自动驾驶中、主致动器4正常、且主通信线5不正常的情况对应。在该情况下，将副致动器9设为控制停止，通过主致动器4实现自动驾驶的制动要求。主致动器4按照从副自动驾驶ECU8的制动要求调停控制部8C输出的制动要求(最终制动要求)而被驱动。在该情况下，主致动器4(主致动器控制用ECU6)的驾驶员制动要求计算部6B和副自动驾驶ECU8的制动要求调停控制部8C经由制动通信I/F 6H、制动通信线12、制动通信I/F11E、副通信I/F11A、副通信线10、副通信I/F 8B连接。另外，副自动驾驶ECU8的制动要求调停控制部8C经由副通信I/F 8B、副通信线10、副通信I/F 11A、制动通信I/F 11E、制动通信线12、制动通信I/F 6H、主通信/GW判定部34、主自动驾驶ECU判定部6E、自动驾驶判定部6D、主致动器判定部6F与致动器控制部6G连接。

S24与自动驾驶中、主致动器4正常、主通信线5正常、且主自动驾驶ECU3不正常的情况对应。在该情况下，将副致动器9设为控制停止，通过主致动器4实现自动驾驶的制动要求。主致动器4按照从副自动驾驶ECU8的制动要求调停控制部8C输出的制动要求(最终制动要求)而被驱动。在该情况下，主致动器4(主致动器控制用ECU6)的驾驶员制动要求计算部6B和副自动驾驶ECU8的制动要求调停控制部8C经由第三路径(主通信I/F6C、主通信线5、主侧连接线32、网关31、副侧连接线33、副通信I/F 8B)、主通信/GW判定部35连接。另外，副自动驾驶ECU8的制动要求调停控制部8C经由第一路径(副通信I/F 8B、副通信线10、副侧连接线33、网关31、主侧连接线32、主通信I/F 6C)、主通信/GW判定部34、主自动驾驶ECU判定部6E、自动驾驶判定部6D、主致动器判定部6F与致动器控制部6G连接。

第三实施方式是如上所述经由网关31将主通信线5和副通信线10连接的实施方式，关于其基本作用，与基于上述的第一实施方式的实施方式相比没有特别的差异。第三实施方式也与第一实施方式同样，即使在主自动驾驶ECU3或主通信线5中发生异常，也能够继续与正常时同样的制动性能。

需要说明的是，在第一实施方式以及第三实施方式中，以设为在自动驾驶中主自动驾驶ECU3或主通信线5失效的情况下，通过主致动器4对车辆施加制动力的结构的情况为例进行了说明。另外，在第二实施方式中，以设为在自动驾驶中主自动驾驶ECU3或主通信线5失效的情况下，通过副致动器9对车辆施加制动力的结构的情况为例进行了说明。但是，不限定于此，例如也可以设为通过主致动器4和副致动器9这两者对车辆施加制动力的结构。即，调停部在第一车辆控制装置失效、存在来自第二车辆控制装置的制动要求时，在存在基于制动踏板的操作的制动要求的情况下，基于最终制动要求，通过第一致动器或第二致动器的至少一方对车辆施加制动力。

在各实施方式中，以设为将作为调停部的制动要求调停控制部8C设置在作为第二车辆控制装置的副自动驾驶ECU8中的结构为例进行了说明。但是，不限定于此，例如，调停部也可以设置在第二车辆控制装置以外。

在各实施方式中，以将作为第一致动器的主致动器4设为作为液压控制装置的电动增力装置、将作为第二致动器的副致动器9设为作为液量控制装置的ESC(防止侧滑装置)的情况为例进行了说明。但是，不限定于此，例如，也可以将第一致动器设为液量控制装置，将第二致动器设为液压控制装置。另外，也可以将第一致动器以及第二致动器设为液量控制装置。另外，也可以将第一致动器以及第二致动器设为液压控制装置。另外，作为第一致动器或第二致动器，也可以使用不经由制动液而通过电动马达直接地施加制动力的电动制动装置(电动卡钳装置)等液压控制装置(电动增力装置)或液量控制装置(ESC)以外的致动器(制动致动器)。

进一步地，各实施方式为示例，显然，能够对利用不同实施方式示出的结构进行部分替换或组合。

作为基于以上说明的实施方式的制动系统，例如可以考虑以下所述的方式的制动系统。

作为第一方式，一种制动系统，其具备：第一车辆控制装置；第一致动器，其接受来自所述第一车辆控制装置的制动要求或基于制动踏板的操作的制动要求，对车辆施加制动力；第二车辆控制装置；第二致动器，其接受来自所述第二车辆控制装置的制动要求，对所述车辆施加制动力；调停部，其在存在来自所述第二车辆控制装置的制动要求时，在存在基于所述制动踏板的操作的制动要求的情况下，生成最终制动要求；所述调停部在所述第一车辆控制装置失效、且存在来自所述第二车辆控制装置的制动要求时，在存在基于所述制动踏板的操作的制动要求的情况下，从所述第一致动器取得基于所述制动踏板的操作的制动要求而生成所述最终制动要求，基于该最终制动要求通过所述第一致动器或所述第二致动器的至少一方对所述车辆施加制动力。

根据该第一方式，在第一车辆控制装置失效的情况下，调停部从第一致动器取得基于制动踏板的操作的制动要求而生成最终制动要求，基于该最终制动要求通过第一致动器或第二致动器的至少一方对车辆施加制动力。因此，在异常时也能够继续与正常时同样的制动性能。

作为第二方式，在第一方式中，所述调停部基于所述最终制动要求，通过所述第一致动器对所述车辆施加制动力。根据该第二方式，即使例如从成本方面考虑使第二致动器的性能比第一致动器的性能低，在异常时、即第一车辆控制装置失效的情况下，也能够继续与正常时同样的制动性能。

作为第三方式，在第一方式或第二方式中，所述调停部设置在所述第二车辆控制装置中。根据该第三方式，能够基于由第二车辆控制装置的调停部生成的最终制动要求，对车辆施加制动力。因此，在异常时、即第一车辆控制装置失效的情况下，也能够继续与正常时同样的制动性能。

作为第四方式，在第一方式至第三方式的任一个中，所述第一致动器是对向轮缸供给的液压进行控制的液压控制装置。根据该第四方式，在通常时以及根据需要在第一车辆控制装置失效时，能够通过液压控制装置对车辆施加制动力。

作为第五方式，在第一方式至第四方式的任一个中，所述第二致动器是对向轮缸供给的液量进行控制的液量控制装置。根据该第五方式，在通常时以及根据需要在第一车辆控制装置失效时，能够通过液量控制装置对车辆施加制动力。

作为第六方式，一种制动系统，其具备：第一车辆控制装置；第一致动器，其接受来自所述第一车辆控制装置的制动要求或基于制动踏板的操作的制动要求，对车辆施加制动力；第二车辆控制装置；第二致动器，其接受来自所述第二车辆控制装置的制动要求，对所述车辆施加制动力；在所述第一车辆控制装置失效的情况下，所述第二车辆控制装置经由所述第二致动器从所述第一致动器取得制动要求，通过所述第一致动器施加制动力。

根据该第六方式，在第一车辆控制装置失效的情况下，第二车辆控制装置经由所述第二致动器从第一致动器取得制动要求，通过第一致动器施加制动力。因此，在异常时也能够继续与正常时同样的制动性能。而且，即使例如从成本方面考虑使第二致动器的性能比第一致动器的性能低，在异常时、即第一车辆控制装置失效的情况下，也能够继续与正常时同样的制动性能。

需要说明的是，本发明并不限定于上述的实施方式，还包括各种变形例。例如，上述的实施方式是为了容易理解地说明本发明而详细说明的，并不限定于具备所说明的全部结构。另外，可以将某一实施方式的结构的一部分置换为其他实施方式的结构，另外，也可以在某一实施方式的结构中添加其他实施方式的结构。另外，对于各实施方式的结构的一部分，能够进行其他结构的追加、删除、置换。

本申请要求基于2019年1月29日申请的日本国特许申请第2019-013054号的优先权。2019年1月29日申请的日本国特许申请2019-013054号的包括说明书、权利要求书、附图以及摘要的所有公开内容通过参照作为整体编入本申请。

附图标记说明

22 制动踏板

3 主自动驾驶ECU(第一车辆控制装置)

4 主致动器(第一致动器)

8 副自动驾驶ECU(第二车辆控制装置)

9 副致动器(第二致动器)

8C 制动要求调停控制部(调停部)