JP2021046140A - 車両制御システム、その制御方法、車両、及びコンピュータプログラム - Google Patents

Abstract

【課題】走行中の車両に緊急事態が生じた場合でも被害を低減できる車両制御システムを提供する。【解決手段】車両制御システムは、車載ネットワークに接続されたブレーキ制御装置と、ブレーキ制御装置によって駆動されるブレーキ装置とを含む車両に搭載されるシステムである。車両制御システムは、車載ネットワークから独立した状態で車両に搭載される。この車両制御システムは、ブレーキ制御装置とは独立してブレーキ装置を駆動する駆動部と、車両の走行時にブレーキ制御装置によるブレーキ制御が不能になったことを検出する検出部と、車両の停止要求を出力する出力部と、ブレーキ制御装置によるブレーキ制御の不能の検出、及び停止要求の出力に基づいて、車両を停止させるよう駆動部を制御する制御部とを含む。【選択図】図３

Description

本開示は、車両制御システム、その制御方法、車両、及びコンピュータプログラムに関する。

自動車等の車両では利便性及び快適性の向上を目的に急激な電子化が進められている。こうした電子化の流れを受けて、近年では、多くの車両に自動ブレーキ等の安全支援機能が搭載されている。このような安全支援機能の一つとして、走行中に緊急事態が生じた際に、自車両を安全な位置に緊急停止させるシステムが提案されている。

後掲の特許文献１は、走行中に車両の運転が困難な緊急異常状態が運転者に生じた場合に、自車両を安全に停止させる車両制御システムを開示する。この車両制御システムは、運転者の意識が無い等の緊急停止が必要な緊急異常状態を検出すると、現在の自車の位置情報と予め保持している地図情報とに基づいて、自車両を走行道路の道路端縁側に移動走行させて停止させる。

後掲の特許文献２は、スイッチの操作によって車両停止等の所定の緊急制御を行う車両制御システムを開示する。この車両制御システムには、第１スイッチ及び第２スイッチの２つのスイッチが設けられており、いずれかのスイッチが操作されると緊急制御が実行される。第２スイッチは第１スイッチよりも運転者の手に近い位置に配置されており、誤操作を防止するために通常は操作不可の状態になっている。車両制御システムは、運転者の体調不良を検知すると、この第２スイッチを操作可能な状態にする。すなわち、特許文献２に開示のシステムは、走行中に運転者が体調不良になったときに当該運転者によるスイッチ操作を容易にすることによって自車両の緊急停止を支援する。

特開２００８−３７２１８号公報 特開２０１８−１２４８５５号公報

一方で、車両においては、近年、サイバーセキュリティ上の脆弱性の問題が指摘されている。サイバー攻撃によって車両のさまざまな制御が乗っ取られると、運転者が自車両を操作できない状況が起こり得る。特に、走行中にブレーキが効かない状況になると、事故に繋がる危険性が高まる。そのため、そうした状況においても、被害を最小化させるためのシステムが求められる。

特許文献１及び特許文献２に開示のシステムは、いずれも、こうした状況が想定されていない。そのため、サイバー攻撃によってブレーキが効かない状況等になった場合のような、走行中の車両に緊急事態が生じた場合に対処できないという問題がある。

本開示は、上記のような課題を解決するためになされたものであり、本開示の１つの目的は、走行中の車両に緊急事態が生じた場合でも被害を低減できる車両制御システム、その制御方法、車両、及びコンピュータプログラムを提供することである。

上記目的を達成するために、本開示のある局面に係る車両制御システムは、車載ネットワークに接続されたブレーキ制御装置と、ブレーキ制御装置によって駆動されるブレーキ装置とを含む車両に搭載される車両制御システムである。車両制御システムは、車載ネットワークから独立した状態で車両に搭載される。この車両制御システムは、ブレーキ制御装置とは独立してブレーキ装置を駆動する駆動部と、車両の走行時にブレーキ制御装置によるブレーキ制御が不能になったことを検出する検出部と、車両の停止要求を出力する出力部と、ブレーキ制御装置によるブレーキ制御の不能の検出、及び停止要求の出力に基づいて、車両を停止させるよう駆動部を制御する制御部とを含む。

本開示の他の局面に係る車両制御システムは、車載ネットワークに接続されたブレーキ制御装置と、ブレーキ制御装置によって駆動されるブレーキ装置とを含む車両に搭載される車両制御システムである。車両制御システムは、車載ネットワークから独立した状態で車両に搭載される。この車両制御システムは、ブレーキ制御装置とは独立してブレーキ装置を駆動する駆動部と、車両の走行時にブレーキ制御装置によるブレーキ制御が不能になったことを検出する検出部と、検出部がブレーキ制御装置によるブレーキ制御の不能を検出したことに応答して、車両を停止させるよう駆動部を制御する制御部とを含む。

本開示のさらに他の局面に係る制御方法は、車載ネットワークに接続されたブレーキ制御装置と、ブレーキ制御装置によって駆動されるブレーキ装置とを含む車両に搭載される車両制御システムの制御方法である。車両制御システムは、車載ネットワークから独立した状態で車両に搭載されるとともに、ブレーキ制御装置とは独立してブレーキ装置を駆動する駆動部を含む。制御方法は、車両の走行時にブレーキ制御装置によるブレーキ制御が不能になったことを検出するステップと、車両の停止要求を出力するステップと、検出するステップにおいて検出された、ブレーキ制御装置によるブレーキ制御の不能、及び、出力するステップにおいて出力された停止要求に基づいて、車両を停止させるよう駆動部を制御するステップとを含む。

本開示のさらに他の局面に係る車両は、ブレーキ装置と、車載ネットワークに接続され、ブレーキ装置を駆動するブレーキ制御装置とを含む。この車両は、車載ネットワークから独立した車両制御システムをさらに含む。車両制御システムは、ブレーキ制御装置とは独立してブレーキ装置を駆動する駆動部と、車両の走行時にブレーキ制御装置によるブレーキ制御が不能になったことを検出する検出部と、車両の停止要求を出力する出力部と、ブレーキ制御装置によるブレーキ制御の不能の検出、及び停止要求の出力に基づいて、車両を停止させるよう駆動部を制御する制御部とを含む。

本開示のさらに他の局面に係るコンピュータプログラムは、車載ネットワークに接続されたブレーキ制御装置と、ブレーキ制御装置によって駆動されるブレーキ装置とを含む車両に搭載される車両制御システムのコンピュータプログラムである。車両制御システムは、車載ネットワークから独立したコンピュータと、ブレーキ制御装置とは独立してブレーキ装置を駆動する駆動部とを含む。このコンピュータプログラムは、コンピュータを、車両の走行時にブレーキ制御装置によるブレーキ制御が不能になったことを検出する検出部、車両の停止要求を出力する出力部、及び、ブレーキ制御装置によるブレーキ制御の不能の検出、及び停止要求の出力に基づいて、車両を停止させるよう駆動部を制御する制御部として機能させる。

本開示によれば、走行中の車両に緊急事態が生じた場合でも被害を低減できる車両制御システム、その制御方法、車両、及びコンピュータプログラムを提供できる。

図１は、第１の実施の形態に係る車両の構成を示す図である。 図２は、第１の実施の形態に係る車両制御システムの概要を説明するための図である。 図３は、車両制御システムのハードウェア構成を示すブロック図である。 図４は、図３に示す車両制御システムの機能的構成を示すブロック図である。 図５は、図１に示す車両の運転席まわりの一例を示す図である。 図６は、図１に示す車両のブレーキ機構（構成）を示す図である。 図７は、バルブによるブレーキオイルの流路の切替えを説明するための図である。 図８は、車両制御システムで実行されるプログラムの制御構造を示すフローチャートである。 図９は、車両制御システムで実行されるプログラムの制御構造を示すフローチャートである。 図１０は、車両制御システムで実行されるプログラムの制御構造を示すフローチャートである。 図１１は、車両制御システムで実行されるプログラムの制御構造を示すフローチャートである。 図１２は、車両制御システムで実行されるプログラムの制御構造を示すフローチャートである。 図１３は、車両制御システムで実行されるプログラムの制御構造を示すフローチャートである。 図１４は、車両制御システムで実行されるプログラムの制御構造を示すフローチャートである。 図１５は、車両制御システムで実行されるプログラムの制御構造を示すフローチャートである。 図１６は、車両制御システムの動作を説明するための図である。 図１７は、車両制御システムの動作を説明するための図である。 図１８は、車両制御システムの動作を説明するための図である。 図１９は、車両制御システムの動作を説明するための図である。 図２０は、車両制御システムの動作を説明するための図である。 図２１は、車両制御システムの動作を説明するための図である。 図２２は、第２の実施の形態に係る車両制御システムで実行されるプログラムの制御構造を示すフローチャートである。 図２３は、第２の実施の形態に係る車両制御システムで実行されるプログラムの制御構造を示すフローチャートである。 図２４は、第２の実施の形態に係る車両制御システムを説明するための図である。 図２５は、第３の実施の形態に係る車両制御システムを説明するための図である。 図２６は、第３の実施の形態に係る車両制御システムを説明するための図である。 図２７は、第３の実施の形態に係る車両制御システムを説明するための図である。 図２８は、第４の実施の形態に係る車両制御システムを説明するための図である。 図２９は、第５の実施の形態に係る車両制御システムで実行されるプログラムの制御構造を示すフローチャートである。 図３０は、第６の実施の形態に係る車両制御システムのハードウェア構成を示すブロック図である。 図３１は、図３０に示す車両制御システムの機能的構成を示すブロック図である。 図３２は、第６の実施の形態に係る車両制御システムが搭載される車両のブレーキ機構（構成）を示す図である。 図３３は、液圧センサによるブレーキ反力の発生の検出を説明するための図である。 図３４は、第７の実施の形態に係る車両制御システムのハードウェア構成を示すブロック図である。 図３５は、ブレーキ踏力を検出するセンサの一例を示す図である。

［本開示の実施形態の説明］
最初に、本開示の好適な実施形態を列記して説明する。なお、以下に記載する実施形態の少なくとも一部を任意に組合せてもよい。

（１）本開示のある局面に係る車両制御システムは、車載ネットワークに接続されたブレーキ制御装置と、ブレーキ制御装置によって駆動されるブレーキ装置とを含む車両に搭載される車両制御システムである。車両制御システムは、車載ネットワークから独立した状態で車両に搭載される。この車両制御システムは、ブレーキ制御装置とは独立してブレーキ装置を駆動する駆動部と、車両の走行時にブレーキ制御装置によるブレーキ制御が不能になったことを検出する検出部と、車両の停止要求を出力する出力部と、ブレーキ制御装置によるブレーキ制御の不能の検出、及び停止要求の出力に基づいて、車両を停止させるよう駆動部を制御する制御部とを含む。

車両制御システムは、車載ネットワークから独立した、駆動部、検出部、出力部、及び制御部を含む。車載ネットワークに接続されたブレーキ制御装置がサイバー攻撃等によって制御不能になった場合、検出部がそのこと（制御不能になったこと）を検出する。出力部は、車両の停止要求を出力する。制御部は、サイバー攻撃を受けた場合でも、ブレーキ制御の不能の検出と車両の停止要求とに基づいて駆動部を制御できる。駆動部は、制御部の制御によってブレーキ制御装置とは独立してブレーキ装置を駆動する。これにより、サイバー攻撃によってブレーキが効かない等の緊急事態が生じた場合でも、車両を停止させることができる。したがって、走行中の車両に緊急事態が生じた場合でも、それによる被害を低減できる。

（２）好ましくは、検出部は、ブレーキ制御装置に対するブレーキ操作に応じた減速が得られたか否かに基づいて、ブレーキ制御装置によるブレーキ制御が不能になったことを検出する。これにより、サイバー攻撃によってブレーキが効かない状況等が生じた場合でも、容易に、ブレーキが効かないことを検出できる。

（３）より好ましくは、車両制御システムは、ブレーキペダルに対するブレーキ踏力を測定する踏力測定装置をさらに含み、検出部は、踏力測定装置によって測定されるブレーキ踏力と車両の減速状況とに基づいて、ブレーキ制御装置によるブレーキ制御が不能になったことを検出する。これにより、ブレーキ制御装置によるブレーキ制御が不能になったことを容易に検出できる。

（４）さらに好ましくは、車両制御システムは、ブレーキペダルとブレーキ制御装置との間に配置されるブレーキ配管に設けられ、当該ブレーキ配管内の液圧を測定する液圧センサをさらに含み、検出部は、液圧センサによって測定される液圧と車両の減速状況とに基づいて、ブレーキ制御装置によるブレーキ制御が不能になったことを検出する。ブレーキ制御が不能になった場合、ブレーキペダルを踏み込めなくする反力が生じ得る。液圧センサによってブレーキ配管内の液圧を測定することにより、このような反力を検出できる。この反力を検出することによっても、ブレーキ制御装置によるブレーキ制御が不能になったことを容易に検出できる。

（５）さらに好ましくは、車両制御システムは、ブレーキペダルに対するブレーキ踏力を測定する踏力測定装置をさらに含み、検出部は、ブレーキ踏力が所定のしきい値を超えたか否かに基づいて、ブレーキ制御装置によるブレーキ制御が不能になったことを検出する。例えば、通常の運転時には超えることがないブレーキ踏力をしきい値として設定しておくことにより、容易に、ブレーキ制御装置によるブレーキ制御が不能になったことを検出できる。

（６）さらに好ましくは、車両制御システムは、ブレーキペダルとブレーキ制御装置との間に配置されるブレーキ配管に設けられ、当該ブレーキ配管内の液圧を測定する液圧センサをさらに含み、検出部は、ブレーキ配管内の液圧が所定のしきい値を超えたか否かに基づいて、ブレーキ制御装置によるブレーキ制御が不能になったことを検出する。このように構成することによっても、容易に、ブレーキ制御装置によるブレーキ制御が不能になったことを検出できる。

（７）さらに好ましくは、車両制御システムは、ブレーキ制御装置によるブレーキ制御が不能になったことを検出部が検出したことに応答して、ブレーキ制御が不能になったことを車両の搭乗者に通知する通知部をさらに含む。この通知によって、搭乗者は、走行中の車両に緊急事態が生じたことを知ることができるので、車両の停止要求等の適切な処置を行い易くなる。なお、搭乗者は車両の運転者及び同乗者を含む。

（８）さらに好ましくは、通知部はさらに、制御部により車両を停止させるよう駆動部が制御されたことに応答して、車両の停止処理を実行していることを車両の搭乗者に通知する。これにより、搭乗者に対して、車両の減速が車両の停止処理によるものであることを認識させることができる。

（９）さらに好ましくは、車両制御システムは、車両内に設けられ、当該車両の搭乗者によって操作される停止ボタンをさらに含み、出力部は、停止ボタンの操作に応じて停止要求を出力する。これにより、走行中の車両に緊急事態が生じた場合に、車両の停止要求を容易に出力できる。

（１０）さらに好ましくは、出力部は、車両の搭乗者の発話音声を認識する音声認識部と、音声認識部が所定の発話音声を認識したことに応答して、停止要求を出力する停止要求出力部とを含む。走行中の車両に緊急事態が生じた場合に、例えば、緊急事態の発生によって運転者が混乱した場合でも、車両の停止要求を出力できる。

（１１）さらに好ましくは、車両制御システムは、前方に位置する地物に対して所定の停止距離が確保されているか否かを判定する判定装置をさらに含み、出力部は、判定装置の判定結果が否定であることに応答して、停止要求を出力する。これにより、ブレーキ制御装置によるブレーキ制御が不能になり、前方に位置する地物と衝突しそうになった場合でも、出力部が停止要求を出力して、衝突する前に車両を停止させることができる。

（１２）さらに好ましくは、出力部は、検出部がブレーキ制御装置によるブレーキ制御が不能になったことを検出した後に所定の時間が経過したことに応答して、停止要求を出力する。これにより、ブレーキ制御装置によるブレーキ制御が不能になった場合に、何らかの理由で運転者が対応できない状況であっても、車両を停止させることができる。

（１３）さらに好ましくは、ブレーキ装置は、車輪と一体に回転する被制動部材と、被制動部材を押圧することにより当該被制動部材の回転を制動する制動部材とを含み、駆動部は、被制動部材に対して制動部材を押圧するよう制動部材を加圧する加圧装置を含み、制御部は、加圧装置を制御することにより、被制動部材に対して制動部材を押圧させる。これにより、ブレーキ装置をブレーキ制御装置とは独立して駆動できるシステムを容易に得ることができる。

（１４）本開示の他の局面に係る車両制御システムは、車載ネットワークに接続されたブレーキ制御装置と、ブレーキ制御装置によって駆動されるブレーキ装置とを含む車両に搭載される車両制御システムである。車両制御システムは、車載ネットワークから独立した状態で車両に搭載される。この車両制御システムは、ブレーキ制御装置とは独立してブレーキ装置を駆動する駆動部と、車両の走行時にブレーキ制御装置によるブレーキ制御が不能になったことを検出する検出部と、検出部がブレーキ制御装置によるブレーキ制御の不能を検出したことに応答して、車両を停止させるよう駆動部を制御する制御部とを含む。

車両制御システムは、車載ネットワークから独立した、駆動部、検出部、出力部、及び制御部を含む。車載ネットワークに接続されたブレーキ制御装置がサイバー攻撃等によって制御不能になった場合、検出部がそのこと（制御不能になったこと）を検出する。制御部は、サイバー攻撃を受けた場合でも、ブレーキ制御装置によるブレーキ制御の不能を検出したことに応答して駆動部を制御できる。駆動部は、制御部の制御によってブレーキ制御装置とは独立してブレーキ装置を駆動する。これにより、サイバー攻撃によってブレーキが効かない等の緊急事態が生じた場合でも、車両を停止させることができる。したがって、走行中の車両に緊急事態が生じた場合でも、それによる被害を低減できる。

（１５）本開示のさらに他の局面に係る制御方法は、車載ネットワークに接続されたブレーキ制御装置と、ブレーキ制御装置によって駆動されるブレーキ装置とを含む車両に搭載される車両制御システムの制御方法である。車両制御システムは、車載ネットワークから独立した状態で車両に搭載されるとともに、ブレーキ制御装置とは独立してブレーキ装置を駆動する駆動部を含む。制御方法は、車両の走行時にブレーキ制御装置によるブレーキ制御が不能になったことを検出するステップと、車両の停止要求を出力するステップと、検出するステップにおいて検出された、ブレーキ制御装置によるブレーキ制御の不能、及び、出力するステップにおいて出力された停止要求に基づいて、車両を停止させるよう駆動部を制御するステップとを含む。このような制御方法によって車両制御システムを制御することにより、サイバー攻撃によってブレーキが効かない等の緊急事態が生じた場合でも、それによる被害を低減できる。

（１６）本開示のさらに他の局面に係る車両は、ブレーキ装置と、車載ネットワークに接続され、ブレーキ装置を駆動するブレーキ制御装置とを含む。この車両は、車載ネットワークから独立した車両制御システムをさらに含む。車両制御システムは、ブレーキ制御装置とは独立してブレーキ装置を駆動する駆動部と、車両の走行時にブレーキ制御装置によるブレーキ制御が不能になったことを検出する検出部と、車両の停止要求を出力する出力部と、ブレーキ制御装置によるブレーキ制御の不能の検出、及び停止要求の出力に基づいて、車両を停止させるよう駆動部を制御する制御部とを含む。

車両をこのように構成することにより、車両の走行時に、ブレーキ制御装置によるブレーキ制御が不能になった場合でも、制御部によって駆動部を制御できる。駆動部を制御することによって、ブレーキ制御装置とは独立してブレーキ装置を駆動できる。これにより、サイバー攻撃によってブレーキが効かない等の緊急事態が生じた場合でも、車両を停止させることができる。したがって、走行中の車両に緊急事態が生じた場合でも、それによる被害を低減できる。

（１７）本開示のさらに他の局面に係るコンピュータプログラムは、車載ネットワークに接続されたブレーキ制御装置と、ブレーキ制御装置によって駆動されるブレーキ装置とを含む車両に搭載される車両制御システムのコンピュータプログラムである。車両制御システムは、車載ネットワークから独立したコンピュータと、ブレーキ制御装置とは独立してブレーキ装置を駆動する駆動部とを含む。このコンピュータプログラムは、コンピュータを、車両の走行時にブレーキ制御装置によるブレーキ制御が不能になったことを検出する検出部、車両の停止要求を出力する出力部、及び、ブレーキ制御装置によるブレーキ制御の不能の検出、及び停止要求の出力に基づいて、車両を停止させるよう駆動部を制御する制御部として機能させる。

これにより、サイバー攻撃によってブレーキが効かない等の緊急事態が生じた場合でも、車両を停止させることができる。したがって、走行中の車両に緊急事態が生じた場合でも、それによる被害を低減できる。

［本開示の実施形態の詳細］
本開示の実施形態に係る車両制御システム、その制御方法、車両、及びコンピュータプログラムの具体例を、以下に図面を参照しつつ説明する。以下の実施の形態では、同一の部品には同一の参照番号を付してある。それらの機能及び名称も同一である。したがって、それらについての詳細な説明は繰返さない。

（第１の実施の形態）
［全体構成］
図１を参照して、本実施の形態に係る車両５０は、電子制御システム６０と、車両制御システム１００とを含む。電子制御システム６０は、複数のＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）７０ａ〜７０ｅ（以下、総称する場合は「ＥＣＵ７０」と記す。）と、これらＥＣＵ７０を相互に接続するネットワーク回線７２ａ〜７２ｂ（以下、総称する場合は「ネットワーク回線７２」と記す。）と、セントラルゲートウェイ７４とを含む。

ＥＣＵ７０は、制御用のコンピュータであって、車両５０に搭載される各機器を制御する。ＥＣＵ７０は、パワートレイン系、車両制御系、ボディ制御系及び情報系等の関連する制御系統ごとにネットワークを構成して情報を互いに共有する。例えば、ブレーキ制御ＥＣＵ７０ａは、ネットワーク回線７２ａを介して、エンジン制御ＥＣＵ７０ｂ、燃料供給制御ＥＣＵ７０ｃ等と通信可能に接続されてネットワークを形成している。他の制御系のＥＣＵ７０ｄ及びＥＣＵ７０ｅも、ネットワーク回線７２ｂを介して、互いに通信可能に接続されてネットワークを形成している。

セントラルゲートウェイ７４は、関連する制御系統ごとに構成されたネットワーク間における情報の中継処理を行う。電子制御システム６０は、複数のＥＣＵ７０がネットワーク回線７２及びセントラルゲートウェイ７４等を介して繋がることで車載ネットワーク６２を構成している。車載ネットワーク６２には、例えばＣＡＮ(Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ)プロトコルが用いられる。ＣＡＮに代えて、又はＣＡＮとともに、例えば、ＣＡＮ ＦＤ(ＣＡＮ ｗｉｔｈ Ｆｌｅｘｉｂｌｅ Ｄａｔａ ｒａｔｅ)、ＬＩＮ(Ｌｏｃａｌ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｎｅｔｗｏｒｋ)、ＦｌｅｘＲａｙ、ＭＯＳＴ(Ｍｅｄｉａ Ｏｒｉｅｎｔｅｄ Ｓｙｓｔｅｍ Ｔｒａｎｓｐｏｒｔ)、ＣＸＰＩ(Ｃｌｏｃｋ Ｅｘｔｅｎｓｉｏｎ Ｐｅｒｉｐｈｅｒａｌ Ｉｎｔｅｒｆａｃｅ)、及びＥｔｈｅｒｎｅｔ（登録商標）等のプロトコルを適宜用いることもできる。その場合、各ネットワークの目的及び特徴に応じて、複数のプロトコルを使い分けるようにするのが好ましい。

車両５０は走行のための車輪５２（前輪５２ａ及び後輪５２ｂ）を持つ。各車輪５２は、後述するブレーキ装置によって制動される。車両５０には、ブレーキ装置を駆動するためのブレーキ制御装置８０が搭載されている。ブレーキ制御装置８０は車両５０のブレーキを電子制御するためのブレーキシステム（ＢＳ）であって、ブレーキ制御ＥＣＵ７０ａを含む。ブレーキ制御装置８０は、ブレーキ制御ＥＣＵ７０ａを含むことで車載ネットワーク６２に接続されている。

車両制御システム１００は、車載ネットワーク６２から独立した（すなわち、車載ネットワーク６２には接続されていない）システムであって、追加のブレーキシステム２００を含む。このブレーキシステム２００は、車載ネットワーク６２から独立しているため、以下では「独立ブレーキシステム２００」と呼ぶ。独立ブレーキシステム２００は、ブレーキ制御装置８０とは独立してブレーキ装置を駆動する。

車両制御システム１００は、走行中の車両に緊急事態（例えばサイバー攻撃によってブレーキが効かない状況等）が生じた場合に被害を最小化することを目的とするシステムである。そのため、この車両制御システム１００をＳＭＤ（Ｓｙｓｔｅｍ ｆｏｒ Ｍｉｎｉｍｉｚａｔｉｏｎ ｏｆ Ｄａｍａｇｅ）と呼ぶことがある。

［車両制御システム１００の概要］
図２を参照して、本実施の形態に係る車両制御システム１００は、車両５０の走行時にブレーキ制御装置８０によるブレーキ制御が不能になったこと、及び、以下に示す停止要求（１）〜（３）のうちの少なくとも１つの停止要求を検出すると、緊急事態が発生したと判断して、車両５０を停止させる。すなわち、車両制御システム１００は緊急停止システムとしての機能を持つ。

ブレーキ制御装置８０によるブレーキ制御が不能になったこと（ブレーキが効かないこと）の判断（検出）は、ブレーキ操作を行ったタイミング（破線四角Ｒで囲った範囲）において、ブレーキ操作に応じた減速が得られたか否かに基づいて行われる。具体的には、車両制御システム１００は、車両５０の走行時に、ブレーキペダルに対するブレーキ踏力及び車体加速度を監視している。車両制御システム１００は、ブレーキ踏力と車両５０の減速状況とに基づいて、ブレーキ制御装置８０によるブレーキ制御が不能になったことを検出する。より具体的には、車両制御システム１００は、ブレーキ踏力が所定のしきい値を超えたときに、そのブレーキ踏力でのブレーキ操作に相当する減速Ｇが得られたか否かに基づいて、ブレーキ制御装置８０によるブレーキ制御が不能になったか否かを判断する。ブレーキ踏力が所定のしきい値を超えたときに、それに相当する減速Ｇが得られない（減速Ｇが弱い）場合、車両制御システム１００は、ブレーキ制御が不能（ブレーキが効かない）と判断する。この場合、車両制御システム１００は、ブレーキ制御が不能になったことを車両５０の搭乗者に通知（警告）する。

停止要求は、搭乗者の停止意思に基づくものと、それ以外のものとに分けられる。

停止要求（１）は、搭乗者が緊急停止ボタンを操作した場合、又は、音声認識装置が所定の発話音声を検出した場合に出力される。したがって、停止要求（１）は、搭乗者の停止意思に基づく要求に分類される。

停止要求（２）は、安全停止距離が守られているか否かの判断に基づいて出力される。車両制御システム１００は、カメラ又はレーダ等により、車両５０の前方に位置する地物（車、人、壁等）との間で相対速度に応じた適切な安全停止距離が確保されているかを監視している。車両制御システム１００は、地物に対して安全停止距離が確保されなくなると、この停止要求を出力する。

停止要求（３）は、タイムアウトによる停止指令である。例えば、搭乗者が緊急停止ボタンを操作できない場合、又は、前方に障害物がなく安全停止距離が確保されている場合は、上記した停止要求（１）及び（２）に基づく停止要求は出力されない。そのため、こうした場合でも車両５０を停止させるために、車両制御システム１００は、ブレーキ制御が不能になったことを検出してから所定の時間が経過すると、この停止要求を出力する。

停止要求（２）及び（３）は、搭乗者の停止意思以外に基づく要求に分類される。

車両制御システム１００は、ブレーキ制御装置８０によるブレーキ制御が不能になったこと、及び、停止要求が出力されたことを検出すると、独立ブレーキシステム２００を起動して車両５０を停止させる。独立ブレーキシステム２００による車両５０の停止処理を、以下では「ＳＭＤ処理」と呼ぶことがある。

搭乗者は、運転者及び同乗者を含む。そのため、搭乗者の停止意思に基づく停止要求は、運転者の停止意思に基づくものであってもよいし、同乗者の停止意思に基づくものであってもよい。すなわち、緊急停止ボタンは運転者が操作してもよいし、同乗者が操作してもよい。さらに、音声認識装置が検出する発話音声は、運転者の発話音声であってもよいし、同乗者の発話音声であってもよい。なお、車両の停止要求を運転の一部と考えた場合、緊急停止ボタンの操作等は運転者によって行われるのが好ましい。以下では、搭乗者の停止意思に基づく停止要求は、運転者の停止意思に基づくものとして説明する。また、ブレーキ制御が不能になったことの通知（警告）も、主として運転者に対して行うものとして説明する。

［ハードウェア構成］
図３を参照して、本実施の形態に係る車両制御システム１００は、上記した独立ブレーキシステム２００と、ブレーキ制御不能検出センサ１１０と、第１の停止要求出力部１２０と、車両５０の周辺を監視する監視センサ１３０とを含む。

独立ブレーキシステム２００は、制御装置２１０と、加圧装置２５０とを含む。制御装置２１０は、実質的にコンピュータであって、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２１０ａ、及びメモリ２１０ｂ等を含む。メモリ２１０ｂには、ＣＰＵ２１０ａが車両制御システム１００を制御するためのプログラム及びデータが記憶されている。加圧装置２５０は、制御装置２１０の制御のもとでブレーキ装置を駆動する。

ブレーキ制御不能検出センサ１１０は、加速度センサ１１２（以下「Ｇセンサ１１２」と呼ぶ。）と、踏力センサ１１４とを含む。Ｇセンサ１１２は、車体に設けられて車両５０に加わる加速度を検出する。踏力センサ１１４は、運転者がブレーキペダルを踏み込んだときの踏力を検出（測定）する。Ｇセンサ１１２で検出した加速度の信号、及び踏力センサ１１４で検出したブレーキ踏力の信号は制御装置２１０に入力される。なお、ブレーキ制御不能検出センサ１１０は、速度センサを含む構成であってもよい。また、Ｇセンサ１１２が検出した加速度を制御装置２１０が時間積分することで車両５０の速度データを制御装置２１０が取得するようにしてもよい。

第１の停止要求出力部１２０は、緊急停止ボタン１２２と、音声認識装置１２４とを含む。緊急停止ボタン１２２は運転者等によって操作されると、停止要求の信号を制御装置２１０に出力する。音声認識装置１２４は、車両５０内の発話音声、特に運転者の発話音声を取得して認識する。この音声認識装置１２４は、車両５０内の発話音声を集音するマイク１２４ａと、集音した発話音声を認識する処理を行う音声処理装置１２４ｂとを含む。音声認識装置１２４は、運転者が所定の発話音声を発したことを認識すると、停止要求の信号を制御装置２１０に出力する。所定の発話音声は、緊急時に運転者が発するであろう音声であって、例えば、「ギャー」等の悲鳴、「止まれ」等の停止指示等である。これらの発話音声は予め登録されていると好ましい。

監視センサ１３０は、カメラ１３２及びレーダ装置１３４を含む。カメラ１３２は、例えば、ＣＣＤ(Ｃｈａｒｇｅ−Ｃｏｕｐｌｅｄ Ｄｅｖｉｃｅ)又はＣＭＯＳ(Ｃｏｍｐｌｅｍｅｎｔａｒｙ Ｍｅｔａｌ Ｏｘｉｄｅ Ｓｅｍｉｃｏｎｄｕｃｔｏｒ)等の固体撮像素子を利用したデジタルカメラである。カメラ１３２は、車両５０の任意の箇所に１つ又は複数取り付けられる。カメラ１３２は、例えば、周期的に繰返し自車両５０の周辺を撮像する。レーダ装置１３４は、車両５０の周辺にミリ波等の電波を放射し、物体によって反射された電波(反射波)を検出することにより当該物体の位置(距離及び方位)等を検出する。レーダ装置１３４も車両５０の任意の箇所に１つ又は複数取り付けられる。カメラ１３２が撮像した撮像データ、及びレーダ装置１３４が取得したデータは、制御装置２１０に入力される。

電子制御システム６０は、車載ネットワーク６２を構成する各種のＥＣＵ７０、及びブレーキ制御装置８０に加えて、車両５０を電子制御するための各種センサ９０を含む。これら各種センサ９０は、Ｇセンサ、カメラ、及びレーダ装置等を含む。ブレーキ制御装置８０は、ブレーキ配管５４を介して、ブレーキ装置３００ａ〜３００ｄ（以下、総称する場合は「ブレーキ装置３００」と記す。）に接続されている。ブレーキ制御装置８０は、ブレーキ配管５４を介して、ブレーキ装置３００に油圧を加えることでブレーキ装置３００を駆動させる。

ブレーキ配管５４の各々には、ブレーキ配管１４０が接続されている。加圧装置２５０は、これらブレーキ配管５４及び１４０を介して、ブレーキ装置３００に接続されている。加圧装置２５０は、これらのブレーキ配管５４及び１４０を介して、ブレーキ装置３００に油圧を加えることでブレーキ装置３００を駆動させる。

図４を参照して、車両制御システム１００の制御装置２１０は、機能部として、ブレーキ制御不能検出部２１２、第２の停止要求出力部２１４、ＳＭＤ処理部２１６、及び通知部２１８を含む。

ブレーキ制御不能検出部２１２は、Ｇセンサ１１２からの加速度信号、及び踏力センサ１１４からのブレーキ踏力信号を監視している。ブレーキ制御不能検出部２１２は、加速度信号、及びブレーキ踏力信号に基づいて、ブレーキ制御装置８０によるブレーキ制御の不能を検出する。具体的には、上記したように、ブレーキ制御不能検出部２１２は、ブレーキ踏力が所定のしきい値を超えたときに、そのブレーキ踏力でのブレーキ操作に相当する減速Ｇが得られたか否かに基づいて、ブレーキ制御装置８０によるブレーキ制御が不能になったか否かを判断する。

第２の停止要求出力部２１４は、安全停止距離監視部２１４ａと、タイマ２１４ｂとを含む。安全停止距離監視部２１４ａは、カメラ１３２が撮像した撮像データ、及びレーダ装置１３４が取得したデータを解析して、車両５０の前方に位置する地物（車、人、壁等）との間で相対速度に応じた適切な安全停止距離が確保されているかを監視する処理を行う。地物に対して安全停止距離が確保されない状況が生じると、安全停止距離監視部２１４ａは衝突のおそれがあると判断して、停止要求を出力する。安全停止距離監視部２１４ａはまた、自車両５０の周辺の地物との安全停止距離を情報として運転者に提供する。

タイマ２１４ｂは、種々の経過時間を計測する。例えば、タイマ２１４ｂは、ΔＴ１の時間計測を行うΔＴ１タイマ、ΔＴ２の時間計測を行うΔＴ２タイマ、及びΔＴ３の時間計測を行うΔＴ３タイマを含むことで、ΔＴ１、ΔＴ２及びΔＴ３の時間経過を計測する。ΔＴ１、ΔＴ２及びΔＴ３はシステムに応じて任意に設定される。第２の停止要求出力部２１４は、ブレーキ制御が不能になったことを検出してから所定の時間が経過すると、タイムアウトによる停止要求を出力する。

ＳＭＤ処理部２１６は、ブレーキ制御の不能、及び、停止要求に基づいて、ＳＭＤ処理を実行する。すなわち、ＳＭＤ処理部２１６は、ブレーキ制御装置８０によるブレーキ制御が不能になったこと、及び、第１の停止要求出力部１２０又は第２の停止要求出力部２１４から出力された停止要求を検出すると、加圧装置２５０を制御して車両５０の走行を停止させる。ＳＭＤ処理部２１６は、ブレーキ踏力、車両５０の走行速度、地物との間の距離（安全停止距離）等に基づいて、車両５０が安全に停止できるよう加圧装置２５０による加圧力を調整する。

通知部２１８は、ブレーキ制御装置８０によるブレーキ制御が不能になった場合に、そのこと（ブレーキ制御が不能になったこと）を運転者（搭乗者）に通知する機能を持つ。通知部２１８はさらに、ＳＭＤ処理が実行されたことに応答して、すなわち、車両５０を停止させるよう加圧装置２５０が制御されたことに応答して、車両の停止処理（ＳＭＤ処理）を実行していることを車両５０の運転者（搭乗者）に通知するよう構成されていてもよい。

図５を参照して、緊急停止ボタン１２２は、運転者が操作し易い位置、例えばダッシュボードの所定の位置に配置されている。緊急停止ボタン１２２は、操作が必要な状況となったときに発光（点灯、又は点滅）するよう構成されていると好ましい。このように構成することにより、ブレーキ制御の不能を検出した際に、緊急停止ボタン１２２の操作を容易に運転者に促すことが可能となる。

マイク１２４ａは、運転者の発話を集音し易い任意の位置、例えばハンドル（ステアリングホイール）のホーン部分等に設けられている。車両５０内には、スピーカ５６及びナビゲーションディスプレイ５８等が設けられている。ブレーキ制御装置８０によるブレーキ制御が不能になったときの通知は、スピーカ５６による音声、又は、ナビゲーションディスプレイ５８による警告表示等によって行われる。例えば、ブレーキ制御装置８０によるブレーキ制御が不能になったことが検出されると、「ブレーキ制御が不能です。緊急停止ボタンを押してください。」といった音声での通知、及び、ナビゲーションディスプレイ５８への警告表示が行われる。これ以外にブザー音を鳴動させたり、ランプ点滅等によって警告を出したりしてもよい。

［ブレーキ機構の構成］
図６を参照して、車両５０のブレーキ機構は、ブレーキペダル４００、ブレーキブースター４０２、マスタシリンダ４０４、リザーブタンク４０６、ブレーキ制御装置８０、ブレーキ装置３００、及び車両制御システム１００を含む。ブレーキペダル４００、ブレーキブースター４０２、マスタシリンダ４０４、リザーブタンク４０６、ブレーキ制御装置８０、及び、ブレーキ装置３００は既存のシステムである。車両制御システム１００は、ブレーキ制御装置８０以外のブレーキ機構をブレーキ制御装置８０と共有する。すなわち、車両制御システム１００は、当該車両制御システム１００を車両５０に搭載した際に、既存ブレーキに対する変更箇所が極力少なくなるように構成されている。

ブレーキペダル４００は、運転者によって操作される運転操作子の一つである。ブレーキペダル４００は、パッド部４００ａとアーム部４００ｂとを含む。パッド部４００ａは、アーム部４００ｂの下端部に設けられている。アーム部４００ｂの上端部には支軸４００ｃが設けられている。この支軸４００ｃを介して、ブレーキペダル４００が揺動可能に車体に取付けられている。アーム部４００ｂの所定部分には、クレビスピン８６を介してクレビス８４が回転可能に連結されている。クレビス８４にはプッシュロッド８８の一端が連結固定されている。このプッシュロッド８８の他端はブレーキブースター４０２に連結されている。ブレーキペダル４００のパッド部４００ａに踏力が付与されると、ブレーキペダル４００が支軸４００ｃの周りを揺動し、その揺動に応じてプッシュロッド８８が変位することでブレーキブースター４０２に踏力が伝わる。

運転操作子は、他にアクセルペダル、シフトレバー、ハンドル等を含む。ブレーキペダル４００には、ブレーキ踏力を測定するための踏力センサ１１４が取り付けられている。踏力センサ１１４は、ブレーキペダル４００に対する踏力を検出し、その検出結果を制御装置２１０に出力する。踏力センサ１１４は、例えばブレーキペダル４００のパッド部４００ａに設けられる。ブレーキブースター４０２は、ブレーキペダル４００に対する踏力を増大する倍力装置である。マスタシリンダ４０４は、ブレーキペダル４００に対する踏力を液圧に変換してブレーキ液を圧送する装置である。このマスタシリンダ４０４は、ブレーキブースター４０２に取り付けられている。マスタシリンダ４０４は、タンデム型であってもよいし、シングル型であってもよい。図６には、タンデム型のマスタシリンダの例が記載されている。リザーブタンク４０６はブレーキオイルを貯蔵しておくタンクであって、マスタシリンダ４０４に取り付けられている。

ブレーキ装置３００は、車輪５２と一体に回転するブレーキロータ３１０と、ブレーキロータ３１０をブレーキパッド（図示せず。）で押圧することにより当該ブレーキロータ３１０の回転を制動するブレーキキャリパ３２０とを含む。ブレーキキャリパ３２０はブレーキオイルによる油圧によりブレーキパッドをブレーキロータ３１０に押し付ける。複数のブレーキ装置３００ａ〜３００ｄは、いずれも同様の構成を有しており、各車輪５２にそれぞれ取り付けられている。

ブレーキ制御装置８０は、マスタシリンダ４０４とブレーキ装置３００（ブレーキキャリパ３２０）との間に配置されている。ブレーキ制御装置８０は、ブレーキ制御ＥＣＵ７０ａによって制御される油圧制御装置８２をさらに含む。油圧制御装置８２は、ブレーキオイルが送入される送入口と、ブレーキオイルを送出させる送出口とを含む。油圧制御装置８２の送入口は、ブレーキ配管４０８を介して、マスタシリンダ４０４の送出口と接続されている。油圧制御装置８２の送出口は、ブレーキ配管５４を介して、ブレーキキャリパ３２０と接続されている。マスタシリンダ４０４からの油圧は、油圧制御装置８２を介してブレーキキャリパ３２０に伝わることで、ブレーキキャリパ３２０が車輪５２の回転を制動する。その際、ブレーキ制御ＥＣＵ７０ａは、油圧制御装置８２を電子制御することで、ブレーキキャリパ３２０に送られる油圧を調節する。

車両制御システム１００の加圧装置２５０は、アクチュエータであって、油圧を発生させるためのポンプ２５２、及びポンプ２５２を作動させるためのモータ２５４を含む。加圧装置２５０には、上記したブレーキ配管１４０の一端が接続されている。ブレーキ配管１４０の他端は、油圧制御装置８２とブレーキキャリパ３２０とを接続するブレーキ配管５４の途中に、バルブ２６０を介して接続されている。

図７を参照して、バルブ２６０はブレーキオイルの流路を切替える切替弁２６２を含む。切替弁２６２は、油圧によって一端を支点にして回動することでブレーキオイルの流路を切替える。図７（Ａ）を参照して、通常時は、切替弁２６２は、ブレーキ制御装置８０からの油圧によって加圧装置２５０の流路を塞ぐ位置に回動される。これにより、ブレーキ制御装置８０からブレーキキャリパ３２０に通じる流路が開にされる。図７（Ｂ）を参照して、ＳＭＤ処理時は、切替弁２６２は、加圧装置２５０からの油圧によってブレーキ制御装置８０の流路を塞ぐ位置に回動される。これにより、加圧装置２５０からブレーキキャリパ３２０に通じる流路が開にされる。

なお、上記バルブ２６０に代えて、ソレノイドバルブ等の電磁弁により流路を切替えるバルブを用いてもよい。

［ソフトウェア構成］
図８を参照して、ブレーキ制御装置８０によるブレーキ制御の不能を検知してＳＭＤ処理を実行するために、車両制御システム１００の制御装置２１０で実行されるコンピュータプログラムの制御構造について説明する。このプログラムは、車両制御システム１００に電源が投入されたことに応じて開始する。

このプログラムは、初期化処理を実行するステップＳ１０００と、ステップＳ１０００の後に実行され、通常処理を実行するステップＳ２０００とを含む。ステップＳ１０００では、初期化処理として、フラグ類をＯＦＦにする処理、及びタイマ２１４ｂをリセットする処理等が実行される。ステップＳ２０００の通常処理は、例えば、Ｇセンサ１１２からの加速度信号及び踏力センサ１１４からのブレーキ踏力信号の監視処理、地物に対する安全停止距離の監視処理、車両５０が走行中か否かの判定処理、及び、ＳＭＤ処理が実行されたか否かの判定処理等を含む。車両５０が走行中の場合、後述する割込処理が実行される。一方、車両５０が走行中ではない場合、例えば信号待ち等で一時停止している場合には、センサ又はタイマから通知を受取っても割込処理は実行されない。信号待ち等の一時停止時に運転者がブレーキペダル４００を強く踏み込んだ場合に、それに応じた減速Ｇが得られないとして（車両５０は停止しているため）ブレーキ制御が不能であると誤検知されるのを防止するためである。割込処理によりＳＭＤ処理が実行されると、ステップＳ２０００の処理を終了して、このプログラムは終了する。

図９〜図１５は、車両制御システム１００の主要な処理を実行するための割込処理を示すルーチンである。

図９を参照して、このルーチンは、踏力センサ１１４が所定のしきい値以上のブレーキ踏力を検出したことに応じて起動される。このルーチンは、タイマ２１４ｂ（ΔＴ１タイマ）を起動してタイマ２１４ｂに時間ΔＴ１（以下、単にΔＴ１と呼ぶ。ΔＴ２、ΔＴ３等についても同様。）の時間計測を開始させ、計測中フラグをＯＮに設定するステップＳ３０００を含む。ステップＳ３０００の処理が終了すると、この割込処理を終了してステップＳ２０００の通常処理に戻る。計測中フラグとは、時間計測中（ＯＮ）か否（ＯＦＦ）かの状態を示す変数である。

図１０を参照して、このルーチンは、緊急停止ボタン１２２の押下（停止要求）を検出すると起動される。このルーチンは、計測中フラグがＯＮか否かを判定し、判定結果に応じて制御の流れを分岐させるステップＳ３１００と、ステップＳ３１００において、計測中フラグがＯＮであると判定されたことに応答して、再初期化処理を実行するステップＳ３１１０と、ステップＳ３１１０の後に実行され、加圧装置２５０を制御してＳＭＤ処理を実行するステップＳ３１２０とを含む。ステップＳ３１１０では、フラグ類（計測中フラグ、並びに、後述する衝突フラグ及びＳＭＤ処理フラグ等）をＯＦＦに設定する処理、及びタイマをリセットする処理等が実行される。ステップＳ３１００において計測中フラグがＯＮではない（ＯＦＦである）と判定された場合、又は、ステップＳ３１２０の処理が終了すると、この割込処理を終了してステップＳ２０００の通常処理（図８参照）に戻る。

図１１を参照して、このルーチンは、所定の発話音声（停止要求）を検出すると起動される。このルーチンは、計測中フラグがＯＮか否かを判定し、判定結果に応じて制御の流れを分岐させるステップＳ３２００と、ステップＳ３２００において、計測中フラグがＯＮであると判定されたことに応答して、再初期化処理を実行するステップＳ３２１０と、ステップＳ３２１０の後に実行され、加圧装置２５０を制御してＳＭＤ処理を実行するステップＳ３２２０とを含む。ステップＳ３２１０では、図１０のステップＳ３１１０と同様の再初期化処理が実行される。ステップＳ３２００において計測中フラグがＯＮではない（ＯＦＦである）と判定された場合、又は、ステップＳ３２２０の処理が終了すると、この割込処理を終了してステップＳ２０００の通常処理（図８参照）に戻る。

図１２を参照して、このルーチンは、衝突のおそれ（停止要求）を検出すると起動される。このルーチンは、計測中フラグがＯＮか否かを判定し、判定結果に応じて制御の流れを分岐させるステップＳ３３００と、ステップＳ３３００において、計測中フラグがＯＮであると判定されたことに応答して、衝突フラグをＯＮに設定するステップＳ３３１０とを含む。ステップＳ３３００において計測中フラグがＯＮではない（ＯＦＦである）と判定された場合、又は、ステップＳ３３１０の処理が終了すると、この割込処理を終了してステップＳ２０００の通常処理（図８参照）に戻る。衝突フラグとは、衝突のおそれがある状態（ＯＮ）か否（ＯＦＦ）かを示す変数である。

図１３を参照して、このルーチンは、踏力センサ１１４が所定のしきい値以上のブレーキ踏力を検出してからΔＴ１が経過すると起動される。このルーチンは、ΔＴ１間におけるブレーキ踏力を計算するステップＳ３４００と、ステップＳ３４００の後に実行され、ΔＴ１間における減速Ｇを計算するステップＳ３４１０とを含む。ステップＳ３４００では、例えば、ブレーキ踏力がΔＴ１の間継続して所定のしきい値以上であるかを求める。

このルーチンはさらに、ステップＳ３４１０の後に実行され、ΔＴ１におけるブレーキ踏力が所定のしきい値以上であったか否かを判定し、判定結果に応じて制御の流れを分岐させるステップＳ３４２０と、ステップＳ３４２０において、ΔＴ１におけるブレーキ踏力が所定のしきい値以上であったと判定された場合に実行され、ΔＴ１における減速Ｇが所定のしきい値より小さいか否かを判定し、判定結果に応じて制御の流れを分岐させるステップＳ３４３０と、ステップＳ３４３０において、減速Ｇが所定のしきい値より小さいと判定された場合に実行され、衝突フラグがＯＦＦか否かを判定し、判定結果に応じて制御の流れを分岐させるステップＳ３４３２と、ステップＳ３４３２において、衝突フラグがＯＦＦではない（ＯＮである）と判定されたことに応答して、ＳＭＤ処理フラグをＯＮに設定するステップＳ３４３４と、ステップＳ３４３４後、又はステップＳ３４３２において衝突フラグがＯＦＦであると判定されたことに応答して、ΔＴ２タイマを起動してΔＴ２の時間計測を開始するステップＳ３４４０と、ステップＳ３４４０の後に実行され、ブレーキ制御装置８０によるブレーキ制御が不能になったと判断して、そのことを運転者に通知（警告）するステップＳ３４５０と、ステップＳ３４２０においてΔＴ１におけるブレーキ踏力が所定のしきい値以上ではないと判定された場合、又はステップＳ３４３０においてΔＴ１における減速Ｇが所定のしきい値より小さくない（しきい値以上である）と判定された場合に実行され、再初期化処理を実行するステップＳ３４６０とを含む。ステップＳ３４６０では、図１０のステップＳ３１１０と同様の再初期化処理が実行される。ステップＳ３４５０又はステップＳ３４６０の処理が終了すると、この割込処理を終了してステップＳ２０００の通常処理（図８参照）に戻る。ＳＭＤ処理フラグとは、衝突のおそれがあるか否かに応じて、ＳＭＤ処理を実行する（ＯＮ）か否（ＯＦＦ）かを示す変数である。

図１４を参照して、このルーチンは、ΔＴ１経過後さらにΔＴ２が経過すると起動される。このルーチンは、ＳＭＤ処理フラグがＯＮか否かを判定し、判定結果に応じて制御の流れを分岐させるステップＳ３５００と、ステップＳ３５００において、ＳＭＤ処理フラグがＯＮであると判定されたことに応答して、再初期化処理を実行するステップＳ３５１０と、ステップＳ３５１０の後に実行され、加圧装置２５０を制御してＳＭＤ処理を実行するステップＳ３５２０と、ステップＳ３５００において、ＳＭＤ処理フラグがＯＮではない（ＯＦＦである）と判定された場合に実行され、ΔＴ３タイマを起動してΔＴ３の時間計測を開始するステップＳ３５３０とを含む。ステップＳ３５１０では、図１０のステップＳ３１１０と同様の再初期化処理が実行される。ステップＳ３５２０又はステップＳ３５３０の処理が終了すると、この割込処理を終了してステップＳ２０００の通常処理（図８参照）に戻る。

図１５を参照して、このルーチンは、ΔＴ２経過後さらにΔＴ３が経過すると起動される。このルーチンは、再初期化処理を実行するステップＳ３６００と、ステップＳ３６００の後に実行され、加圧装置２５０を制御してＳＭＤ処理を実行するステップＳ３６１０とを含む。ステップＳ３６００では、図１０のステップＳ３１１０と同様の再初期化処理が実行される。ステップＳ３６１０の処理が終了すると、この割込処理を終了してステップＳ２０００の通常処理（図８参照）に戻る。

［動作］
本実施の形態に係る車両制御システム１００は以下のように動作する。

《緊急停止ボタンの押下、又は所定の発話検出によるＳＭＤ処理の実行》
図１６を参照して、運転者が緊急停止ボタン１２２を押下した場合、又は、運転者が発する所定の発話音声を音声認識装置１２４が検出した場合に出力される停止要求を車両制御システム１００が検出する場合の当該車両制御システム１００の動作について説明する。

車両５０はある速度Ｖｋｍ／ｈで走行しているものとする。運転者は、ブレーキをかけるために、アクセルペダルから足を離してブレーキペダル４００に踏み換える。その間、車両５０は空走する。ブレーキ制御装置８０が正常に機能している通常の場合は、運転者がブレーキペダル４００を踏み込むと、車両５０が減速して一点鎖線Ｐで示される減速Ｇが車体に加わる。車両５０が停止すると、Ｇセンサ１１２が検出する車体前後Ｇは０になる。

運転者がブレーキペダル４００を踏み込むことによって、時刻Ｔ１において踏力センサ１１４からのブレーキ踏力が所定のしきい値を超えたとする。車両制御システム１００は、ΔＴ１タイマを起動して時間計測を開始する（図９のステップＳ３０００）。このとき、計測中フラグがＯＮに設定される。車両制御システム１００は、ΔＴ１の間、ブレーキ制御不能検出センサ１１０（Ｇセンサ１１２及び踏力センサ１１４）からの信号（加速度信号、ブレーキ踏力信号）を取得してメモリ２１０ｂに蓄積する。ΔＴ１が経過すると、車両制御システム１００の制御装置２１０は、メモリ２１０ｂに記憶したブレーキ踏力及び減速Ｇを読出して、ΔＴ１の間のブレーキ踏力及び減速Ｇを計算する（図１３のステップＳ３４００及びステップＳ３４１０）。メモリ２１０ｂに蓄積された加速度信号、及びブレーキ踏力信号は計算後に削除される。

ΔＴ１の間のブレーキ踏力が所定のしきい値以上（ステップＳ３４２０においてＹＥＳ）、かつ、減速Ｇが所定のしきい値より小さい場合（ステップＳ３４３０においてＹＥＳ）、車両制御システム１００は、ブレーキ制御装置８０によるブレーキ制御が不能になったと判断する。例えば、ブレーキが効かない場合、空走状態が継続されるので、空走時同等（０．１Ｇ〜０．２Ｇ）程度の減速Ｇが検出される。これは、一点鎖線Ｐで示した正常時の減速Ｇより小さい。この場合は、ブレーキ操作に応じた減速が得られていないため、ブレーキ制御が不能になったと判断される。車両制御システム１００は、衝突フラグがＯＦＦか否かを判定する（ステップＳ３４３２）。ここでは、衝突フラグがＯＦＦであるため（ステップＳ３４３２においてＹＥＳ）、車両制御システム１００は、ΔＴ２タイマを起動してΔＴ２の時間計測を開始した後(図１３のステップＳ３４４０）、ブレーキ制御が不能になったことを運転者に通知する（ステップＳ３４５０）。例えば、上記したように「ブレーキ制御が不能です。緊急停止ボタンを押してください。」といった警告音声を発する。なお、ブレーキ制御が不能になった原因の一つとしてサイバー攻撃によるものが考えられる。そのため、運転者への通知として、例えば「システムが乗っ取られました。緊急停止ボタンを押してください。」といった警告音声を発するようにしてもよい。

なお、ΔＴ１の間のブレーキ踏力が所定のしきい値以上ではない場合（ステップＳ３４２０においてＮＯ）、又は、減速Ｇが所定のしきい値以上の場合（ステップＳ３４３０においてＮＯ）は、ブレーキ制御装置８０は正常な状態であると考えられる。この場合は、警告音声は発せられずに、再初期化処理（タイマのリセット、フラグ類のＯＦＦへの設定）だけが実行される（ステップＳ３４６０）。

通知（警告音声等）によりブレーキ制御が不能になったことを知った運転者は、緊急停止ボタン１２２を押下する。緊急停止ボタン１２２の押下によって停止要求が出力される。車両制御システム１００（独立ブレーキシステム２００）は、この停止要求を検出すると、計測中フラグがＯＮか否かを判定する。計測中フラグはＯＮに設定されているため（図１０のステップＳ３１００においてＹＥＳ）、車両制御システム１００は、再初期化処理を実行し（ステップＳ３１１０）、続いて、ＳＭＤ処理を実行する（ステップＳ３１２０）。ＳＭＤ処理では、車両制御システム１００（制御装置２１０）が加圧装置２５０を制御することによりブレーキキャリパ３２０に油圧を加える。これにより、ブレーキ装置３００が車輪５２の回転を制動する。車両５０には、実線Ｑ１で示される、例えば急ブレーキ相当の減速Ｇが加わる。その後、車両５０は停止する。車両５０が停止すると、Ｇセンサ１１２が検出する車体前後Ｇは０になる。

車両制御システム１００が搭載されていない車両では、ブレーキ制御が不能になったときにＳＭＤ処理が実行されない。そのため、破線Ｓで示されるように空走状態が継続される。停止すべき位置で車両を停止させることが困難となる。

通知（警告音声等）によりブレーキ制御が不能になったことを知った運転者が、所定の発話音声を発した場合も、上記と同様の動作が実行される。すなわち、運転者が所定の発話音声を発すると、音声認識装置１２４がその発話音声を認識する。音声認識装置１２４は、停止要求を独立ブレーキシステム２００に出力する。車両制御システム１００（独立ブレーキシステム２００）は、この停止要求を検出すると、上記と同様、再初期化処理を実行し（図１１のステップＳ３２１０）、続いて、ＳＭＤ処理を実行する（ステップＳ３２２０）。

図１７を参照して、図１６に示す上記動作を行うための割込処理の流れについて説明する。時刻Ｔ１において踏力センサ１１４からのブレーキ踏力が所定のしきい値を超えると、図９に示される割込処理（ブレーキ踏力センサ処理）が実行される。この割込処理において、ΔＴ１の時間計測が開始される。計測開始からΔＴ１が経過すると、そのときの時刻Ｔ２において、図１３に示される割込処理（Ｔ２タイマ処理）が実行される。この割込処理において、ブレーキ制御が不能になったことを車両制御システム１００が検出すると、当該車両制御システム１００は、ブレーキ制御が不能になったことの警告通知を運転者に発する。

その後、緊急停止ボタン１２２の押下、又は所定の発話音声を検出すると、図１０に示される割込処理（緊急ボタン処理）、又は図１１に示される割込処理（発話検出時の処理）が実行される。図１０に示される割込処理、又は図１１に示される割込処理において、ＳＭＤ処理が実行される。

《衝突のおそれの検出によるＳＭＤ処理の実行》
図１８を参照して、車両５０の前方に位置する地物との間で相対速度に応じた適切な安全停止距離が確保されなくなったことを安全停止距離監視部２１４ａが検出した場合に出力される停止要求を車両制御システム１００が検出する場合の当該車両制御システム１００の動作について説明する。なお、上記した動作と重複する部分は説明を適宜省略する。

時刻Ｔ１において踏力センサ１１４からのブレーキ踏力が所定のしきい値を超え、時刻Ｔ１から時刻Ｔ２までのΔＴ１の間に、前方の地物との間で安全停止距離が確保されなくなったこと、すなわち衝突のおそれがあることを安全停止距離監視部２１４ａが検出したとする。安全停止距離監視部２１４ａは、衝突のおそれがあることを検出すると停止要求を出力する。車両制御システム１００（独立ブレーキシステム２００）は、この停止要求を検出すると、計測中フラグがＯＮか否かを判定する。計測中フラグはＯＮに設定されているため（図１２のステップＳ３３００においてＹＥＳ）、車両制御システム１００は、衝突フラグをＯＮに設定する（ステップＳ３３１０）。

ΔＴ１が経過すると、車両制御システム１００の制御装置２１０は、時刻Ｔ２において、ブレーキ制御装置８０によるブレーキ制御が不能になったか否かを判断する（図１３のステップＳ３４００〜ステップＳ３４３０）。車両制御システム１００は、ブレーキ制御が不能になったことを検出すると、衝突フラグがＯＦＦか否かを判定する。ここでは、衝突フラグはＯＮであるため（ステップＳ３４３２においてＮＯ）、車両制御システム１００は、ＳＭＤ処理フラグをＯＮに設定する（ステップＳ３４３４）。車両制御システム１００は、ΔＴ２の時間計測を開始した後(ステップＳ３４４０）、サイバー攻撃によってブレーキ制御が不能になったことを運転者に通知する（ステップＳ３４５０）。ΔＴ２が経過すると、車両制御システム１００は、ＳＭＤ処理フラグがＯＮか否かを判定する。ＳＭＤ処理フラグはＯＮに設定されているため（図１４のステップＳ３５００においてＹＥＳ）、車両制御システム１００は、再初期化処理を実行し（ステップＳ３５１０）、続いて、ＳＭＤ処理を実行する（ステップＳ３５２０）。車両制御システム１００は、ΔＴ１の間のブレーキ踏力及び減速Ｇに基づいてブレーキ制御が不能になったか否かを判断するため、時刻Ｔ２以前に衝突のおそれを検出した場合でも、車両制御システム１００は、時刻Ｔ２のΔＴ２経過後である時刻Ｔ３に、ＳＭＤ処理を実行する。

ＳＭＤ処理において、車両５０には、実線Ｑ２で示される、例えば急ブレーキ相当の減速Ｇが加わる。その後、車両５０は停止する。車両５０が停止すると、Ｇセンサ１１２が検出する車体前後Ｇは０になる。

なお、時刻Ｔ２から時刻Ｔ３までの間、すなわち、ΔＴ２の間に安全停止距離監視部２１４ａが衝突のおそれを検出した場合も、上記と同様の動作が実行される。

図１９を参照して、図１８に示す上記動作を行うための割込処理の流れについて説明する。時刻Ｔ１において踏力センサ１１４からのブレーキ踏力が所定のしきい値を超えると、図９に示される割込処理（ブレーキ踏力センサ処理）が実行される。この割込処理において、ΔＴ１の時間計測が開始される。ΔＴ１が経過するまでの間に、安全停止距離監視部２１４ａが衝突のおそれがあることを検出すると、図１２に示される割込処理（衝突のおそれ検出時の処理）が実行される。この割込処理において、計測中フラグがＯＮの場合に衝突フラグがＯＮに設定される。

計測開始からΔＴ１が経過すると、そのときの時刻Ｔ２において、図１３に示される割込処理（Ｔ２タイマ処理）が実行される。この割込処理において、ブレーキ制御が不能になったことを車両制御システム１００が検出すると、当該車両制御システム１００は、ΔＴ２の時間計測を開始する。ΔＴ２が経過すると、そのときの時刻Ｔ３において、図１４に示される割込処理（Ｔ３タイマ処理）が実行される。この割込処理において、衝突フラグがＯＮに設定されていると、ＳＭＤ処理が実行される。

《タイムアウトによるＳＭＤ処理の実行》
図２０を参照して、タイムアウトにより出力される停止要求を車両制御システム１００が検出する場合の当該車両制御システム１００の動作について説明する。なお、上記した動作と重複する部分は説明を適宜省略する。

車両制御システム１００が、ブレーキ制御が不能になったことを検出した場合であって、緊急停止ボタン１２２が押下されず、所定の発話検出もされず、さらに、安全停止距離監視部２１４ａによる衝突のおそれも検出されなかった場合（図１４のステップＳ３５００においてＮＯ）、車両制御システム１００はΔＴ３の時間計測を開始する（ステップＳ３５３０）。ΔＴ３が経過すると、ΔＴ３経過後の時刻Ｔ４において、タイマ２１４ｂがタイムアウトによる停止要求を出力する。停止要求を検出した車両制御システム１００は、再初期化処理を実行し（図１５のステップＳ３６００）、続いて、ＳＭＤ処理を実行する（ステップＳ３６１０）。

ＳＭＤ処理において、車両５０には、実線Ｑ３で示される、例えば急ブレーキ相当の減速Ｇが加わる。その後、車両５０は停止する。車両５０が停止すると、Ｇセンサ１１２が検出する車体前後Ｇは０になる。なお、タイムアウトによってＳＭＤ処理が実行される場合、空走距離が長くなり、その分、制動距離が短くなる。制動距離をある程度確保するためには、ΔＴ１、ΔＴ２、及びΔＴ３を短く設定するのが好ましい。

図２１を参照して、図２０に示す上記動作を行うための割込処理の流れについて説明する。時刻Ｔ１において踏力センサ１１４からのブレーキ踏力が所定のしきい値を超えると、図９に示される割込処理（ブレーキ踏力センサ処理）が実行される。この割込処理において、ΔＴ１の時間計測が開始される。

計測開始からΔＴ１が経過すると、そのときの時刻Ｔ２において、図１３に示される割込処理（Ｔ２タイマ処理）が実行される。この割込処理において、ブレーキ制御が不能になったことを車両制御システム１００が検出すると、当該車両制御システム１００は、ΔＴ２の時間計測を開始する。ΔＴ２が経過すると、そのときの時刻Ｔ３において、図１４に示される割込処理（Ｔ３タイマ処理）が実行される。この割込処理において、衝突フラグがＯＮではないと判定される。車両制御システム１００は、ΔＴ３の時間計測を開始する。ΔＴ３が経過すると、そのときの時刻Ｔ４において、図１５に示される割込処理（Ｔ４タイマ処理）が実行される。この割込処理において、ＳＭＤ処理が実行される。

［本実施の形態の効果］
以上の説明から明らかなように、本実施の形態に係る車両制御システム１００及びその車両制御システム１００を搭載した車両５０は以下に述べる効果を奏する。

車両制御システム１００は、車載ネットワーク６２に接続されたブレーキ制御装置８０と、ブレーキ制御装置８０によって駆動されるブレーキ装置３００とを含む車両５０に搭載される。車両制御システム１００は、車載ネットワーク６２から独立した、独立ブレーキシステム２００を含む。車載ネットワーク６２に接続されたブレーキ制御装置８０がサイバー攻撃等によって制御不能になった場合、独立ブレーキシステム２００のブレーキ制御不能検出部２１２がそのことを検出する。第１の停止要求出力部１２０（緊急停止ボタン１２２、音声認識装置１２４）又は第２の停止要求出力部２１４（安全停止距離監視部２１４ａ、タイマ２１４ｂ）は、車両５０の停止要求を出力する。独立ブレーキシステム２００の制御装置２１０は、サイバー攻撃を受けた場合でも、ブレーキ制御の不能の検出と車両５０の停止要求とに基づいて、加圧装置２５０を制御できる。加圧装置２５０は、制御装置２１０の制御によってブレーキ制御装置８０とは独立してブレーキ装置３００を駆動する。これにより、ブレーキ制御が不能になるといった緊急事態が走行中に生じた場合でも、車両５０を停止させることができる。したがって、仮に、サイバー攻撃によってブレーキが効かない状況等が生じた場合でも、それによる被害を低減できる。

ブレーキ制御不能検出部２１２は、ブレーキ制御装置８０に対するブレーキ操作に応じた減速が得られたか否かに基づいて、ブレーキ制御装置８０によるブレーキ制御が不能になったことを検出する。これにより、サイバー攻撃によってブレーキが効かない状況等が生じた場合でも、容易に、ブレーキが効かないことを検出できる。

車両内には運転者によって操作される緊急停止ボタン１２２が設けられている。運転者は、走行中の自車両５０に緊急事態が生じた場合に、この緊急停止ボタン１２２を押下することによって容易に停止要求を出力できる。したがって、サイバー攻撃によってブレーキが効かない状況等が生じた場合に、緊急停止ボタン１２２を押下することによって、ＳＭＤ処理を実行できる。

車両制御システム１００は、運転者の発話音声を認識する音声認識装置１２４を含む。この音声認識装置１２４によって運転者が発した所定の発話音声を認識して停止要求を出力できる。そのため、走行中の車両５０に緊急事態が生じた場合に、例えば、緊急事態の発生等によって運転者が混乱した場合でも、混乱時に発した音声を認識することによってＳＭＤ処理を実行できる

車両制御システム１００は、前方に位置する地物に対して所定の安全停止距離が確保されているか否かを判定する安全停止距離監視部２１４ａを含む。安全停止距離監視部２１４ａは、地物に対して安全停止距離が確保されない状況が生じたことを検出すると、衝突のおそれがあると判断して、停止要求を出力する。これにより、ブレーキ制御装置８０によるブレーキ制御が不能になり、前方に位置する地物と衝突しそうになった場合でも、安全停止距離監視部２１４ａが停止要求を出力して、衝突する前に車両５０を停止させることができる。

車両制御システム１００はさらに、ブレーキ制御装置８０によるブレーキ制御の不能が検出された後に所定の時間（本実施の形態ではΔＴ１＋ΔＴ２＋ΔＴ３）が経過すると、タイムアウトによる停止要求を出力する。これにより、ブレーキ制御装置８０によるブレーキ制御が不能になった場合に、何らかの理由で運転者が対応できない状況であっても、車両５０を確実に停止させることができる。

ブレーキ装置３００は、上記したように、車輪５２と一体に回転するブレーキロータ３１０と、ブレーキロータ３１０をブレーキパッドで押圧することにより当該ブレーキロータ３１０の回転を制動するブレーキキャリパ３２０とを含む。こうしたブレーキ装置３００を加圧装置２５０で加圧することにより、ブレーキキャリパ３２０のブレーキパッドをブレーキロータ３１０に押し付けて、車輪５２の回転を制動できる。こうした加圧装置２５０を用いることで、容易に、ブレーキ制御装置８０とは独立してブレーキ装置３００を駆動できる。

なお車両制御システム１００は、ＳＭＤ処理が実行された場合に、通知部２１８によって、車両の停止処理（ＳＭＤ処理）を実行していることを車両５０の搭乗者に通知するように構成されていてもよい。これにより、搭乗者は、車両５０の減速が車両５０の停止処理（ＳＭＤ処理）によるものであることを認識できる。

（第１の実施の形態の変形例）
上記第１の実施の形態では、ΔＴ１におけるブレーキ踏力が所定のしきい値以上であり（図１３のステップＳ３４２０においてＹＥＳ）、かつ、ΔＴ１における減速Ｇが所定のしきい値より小さい（ステップＳ３４３０においてＹＥＳ）場合に、衝突フラグがＯＦＦか否かを判定し、衝突フラグがＯＦＦでない（ＯＮである）と判定された場合に、ＳＭＤ処理フラグをＯＮに設定する例を示したが、本開示はそのような実施の形態には限定されない。図１３におけるステップＳ３４３２及びステップＳ３４３４の処理は省略してもよい。この場合、図１４に示すステップＳ３５００の処理を、ＳＭＤ処理フラグがＯＮか否かを判定する処理に代えて、衝突フラグがＯＮか否かを判定する処理にすればよい。

（第２の実施の形態）
本実施の形態に係る車両制御システムは、ブレーキ制御装置８０によるブレーキ制御が不能になったことをブレーキ制御不能検出部が検出したことに応答して、ＳＭＤ処理を実行する点において、第１の実施の形態に係る車両制御システム１００とは異なる。すなわち、本実施の形態では、車両の停止要求を検出することなくＳＭＤ処理が実行される。そのため、緊急停止ボタン１２２等の停止要求を出力する停止要求出力部１２０及び２１４は不要となる。その他の構成は、第１の実施の形態と同様である。

［ソフトウェア構成］
本実施の形態に係る車両制御システムでは、図９の割込処理に代えて図２２の割込処理が実行され、図１３の割込処理に代えて図２３の割込処理が実行される。図１０〜図１２、図１４及び図１５に示した割込処理は実行されない。

図２２を参照して、この割込処理（ルーチン）は、図９のステップＳ３０００に代えて、ステップＳ３０１０を含む。ステップＳ３０１０では、タイマ（ΔＴ１タイマ）を起動してタイマにΔＴ１の時間計測を開始させる処理が実行される。ステップＳ３０１０の処理が終了すると、この割込処理を終了してステップＳ２０００の通常処理（図８参照）に戻る。

図２３を参照して、この割込処理（ルーチン）は、図１３のステップＳ３４４０及びステップＳ３４５０に代えて、ステップＳ３４７０〜ステップＳ３４９０を含む。図２３のステップＳ３４００〜ステップＳ３４３０、及びステップＳ３４６０における処理は、図１３に示される各ステップにおける処理と同じである。

このルーチンは、減速Ｇが所定のしきい値より小さいと判定された場合に実行され、ブレーキ制御装置８０によるブレーキ制御が不能になったと判断して、そのことを運転者に通知（警告）するステップＳ３４７０と、ステップＳ３４７０の後に実行され、再初期化処理を実行するステップＳ３４８０と、ステップＳ３４８０の後に実行され、加圧装置２５０を制御してＳＭＤ処理を実行するステップＳ３４９０とを含む。ステップＳ３４８０では、図１０のステップＳ３１１０と同様の再初期化処理が実行される。

［動作］
図２４を参照して、運転者がブレーキペダルを踏み込むことによって、時刻Ｔ１において踏力センサからのブレーキ踏力が所定のしきい値を超えたとする。車両制御システムは、ΔＴ１タイマを起動して時間計測を開始する（図２２のステップＳ３０１０）。車両制御システムは、ΔＴ１の間、ブレーキ制御不能検出センサ（Ｇセンサ及び踏力センサ）からの信号（加速度信号、ブレーキ踏力信号）を取得してメモリに蓄積する。ΔＴ１が経過すると、車両制御システムの制御装置は、メモリに記憶したブレーキ踏力及び減速Ｇを読出して、ΔＴ１の間のブレーキ踏力及び減速Ｇを計算する（図２３のステップＳ３４００及びステップＳ３４１０）。

ΔＴ１の間のブレーキ踏力が所定のしきい値以上（ステップＳ３４２０においてＹＥＳ）、かつ、減速Ｇが所定のしきい値より小さい場合（ステップＳ３４３０においてＹＥＳ）、車両制御システムは、ブレーキ制御装置８０によるブレーキ制御が不能になったと判断する。車両制御システムは、ブレーキ制御が不能になったことを運転者に通知する（ステップＳ３４７０）。例えば、「ブレーキ制御が不能になりました。緊急停止を行います。」といった警告音声を発する。車両制御システムは、運転者への通知を行った後に再初期化処理を実行し（ステップＳ３４８０）、続いて、ＳＭＤ処理を実行する（ステップＳ３４９０）。ＳＭＤ処理において、車両には、実線Ｑ４で示される、例えば急ブレーキ相当の減速Ｇが加わる。その後、車両は停止する。車両が停止すると、Ｇセンサが検出する車体前後Ｇは０になる。

［効果］
本実施の形態の車両制御システムは、上記のように、ブレーキ制御が不能になったことをブレーキ制御不能検出部２１２が検出したことに応答して、ＳＭＤ処理を実行する。こうした構成によっても、ブレーキが効かない等の緊急事態が生じた場合にそれによる被害を低減できる。さらに、運転者による緊急停止ボタンの操作を伴わずにＳＭＤ処理を実行できるので、本実施の形態に係る車両制御システムは、運転者が緊急停止ボタンを操作できない状況で特に有効である。加えて、タイムアウトによる停止要求によりＳＭＤ処理を実行する場合に比べて、空走距離を短縮できる。

（第３の実施の形態）
本実施の形態に係る車両制御システムは、ブレーキ踏力が所定のしきい値を超えたか否かに基づいて、ブレーキ制御装置８０によるブレーキ制御が不能になったことを検出する点において、第１の実施の形態に係る車両制御システム１００とは異なる。

本実施の形態では、ブレーキ踏力の上記しきい値は、第１の実施の形態で示したブレーキ踏力のしきい値より大きい値に設定されている。本実施の形態のしきい値と、第１の実施の形態のしきい値とを区別するために、以下では、第１の実施の形態のしきい値を「第１のしきい値」、本実施の形態のしきい値を「第２のしきい値」と呼ぶ。第２のしきい値は、通常のブレーキ操作では検出されないような踏力値であって、運転者が意識的に力を込めてブレーキペダルを踏み込んだ際に検出されるような踏力値に設定されていると好ましい。

図２５を参照して、踏力センサからのブレーキ踏力が時刻Ｔ１にて第１のしきい値を超え、さらに時刻Ｔａにて第２のしきい値を超えると、車両制御システムは、ブレーキ制御装置８０によるブレーキ制御が不能になったと判断する。運転者は、ブレーキ制御が不能になった場合、ブレーキペダルをさらに強く踏み込むことがある。そのため、第２のしきい値を超えるような強い力でブレーキペダルが踏み込まれた場合、ブレーキ制御が不能になったことが想定される。車両制御システムは、第２のしきい値を超えるブレーキ踏力を検出することによって、ブレーキ制御が不能になったことを検出する。その場合、第１の実施の形態で示したように、ブレーキ制御が不能になったことを運転者に通知するようにしてもよい。

その後、運転者によって緊急停止ボタンが押下されると、停止要求が検出されてＳＭＤ処理が実行される。ＳＭＤ処理において、車両には、実線Ｑ５で示される減速Ｇが加わる。緊急停止ボタンの押下に代えて、所定の発話音声が検出された場合も同様にＳＭＤ処理が実行される。

図２６を参照して、時刻Ｔａ以降に安全停止距離監視部が衝突のおそれを検出した場合、車両制御システムは、その衝突のおそれの検出に応じてＳＭＤ処理を実行する。ＳＭＤ処理において、車両には、実線Ｑ６で示される減速Ｇが加わる。図２７を参照して、踏力センサからのブレーキ踏力が時刻Ｔａにて第２のしきい値を超えた場合、車両制御システムは、タイマを起動してΔＴの時間計測を開始する。停止要求を検出することなくΔＴが経過すると、ΔＴ経過後の時刻Ｔｂにおいて、タイマがタイムアウトによる停止要求を出力する。停止要求を検出した車両制御システムは、ＳＭＤ処理を実行する。ＳＭＤ処理において、車両には、実線Ｑ７で示される減速Ｇが加わる。

本実施の形態に係る車両制御システムは、第１の実施の形態と同様、サイバー攻撃によってブレーキが効かない等の緊急事態が生じた場合でも、車両を停止させて、それによる被害を低減できる。さらに本実施の形態では、車両制御システムを上記のように構成することによって、システムを簡素化することもできる。

（第４の実施の形態）
本実施の形態に係る車両制御システムは、独立ブレーキシステム２００に代えて、独立ブレーキシステム５００を含む点において、第１の実施の形態とは異なる。独立ブレーキシステム５００は、車載ネットワーク６２に接続されたブレーキ制御装置８０をバイパスするように設けられている。

図２８を参照して、独立ブレーキシステム５００は、制御装置５１０及び加圧装置５５０を含む。加圧装置５５０は、ブレーキ配管５６０を介して、マスタシリンダ４０４のブレーキ配管４０８の途中に接続されている。ブレーキ配管５６０とブレーキ配管４０８とは、電磁弁５７０により接続されている。この加圧装置５５０は、第１の実施の形態で示した加圧装置２５０（図６参照）と同様の機能に加えて、マスタシリンダ４０４からの油圧に応じて（すなわちブレーキペダル４００に対する操作に応じて）、ブレーキキャリパ３２０を加圧する機能を持つ。制御装置５１０は、電磁弁５７０を制御して、マスタシリンダ４０４からのブレーキオイルの流路を切替える機能をさらに持つ。

車両制御システムは、ブレーキ制御装置８０によるブレーキ制御が不能になったことを検出し、第１の停止要求出力部１２０（緊急停止ボタン１２２、音声認識装置１２４）（図４参照）からの停止要求を検出すると、電磁弁５７０を制御して、ブレーキシステムを、車載ネットワーク６２に接続されたブレーキ制御装置８０から独立ブレーキシステム５００に切替える。すなわち、運転者が緊急停止ボタン１２２を押下する、又は音声認識装置１２４が所定の発話音声を認識すると、車両のブレーキシステムが独立ブレーキシステム５００に切り替わる。これにより、ブレーキペダル４００の踏込みに応じてブレーキキャリパ３２０が加圧されるので、運転者の意思によるブレーキ操作を行うことが可能となる。

一方、第２の停止要求出力部２１４（安全停止距離監視部２１４ａ、タイマ２１４ｂ）（図４参照）からの停止要求を検出した場合、車両制御システムは、第１の実施の形態と同様のＳＭＤ処理を実行する。すなわち、安全停止距離監視部２１４ａが衝突のおそれがあることを検出して停止要求を出力した場合、又はタイマ２１４ｂがタイムアウトによる停止要求を出力した場合、車両制御システムは、それらを検出してＳＭＤ処理を実行する。

なお、所定の発話音声は、第１の実施の形態と同じものであってもよいし、第１の実施の形態とは異なるものであってもよい。また、車両制御システムは、音声認識装置１２４が認識した発話音声に応じて、運転者の意思によるブレーキ操作を可能とするか、ＳＭＤ処理を実行するかを切替えるように構成されてもよい。さらに、車載ネットワーク６２に接続されたブレーキ制御装置８０から独立ブレーキシステム５００にブレーキシステムが切替わったことに応答して、独立ブレーキシステム５００に切替わったことを運転者（搭乗者）に通知するように構成されてもよい。

（第５の実施の形態）
本実施の形態に係る車両制御システムは、タイムアウトによるＳＭＤ処理の実行前に、再度、ブレーキ制御が不能な状態か否かを判定する点において、第１の実施の形態とは異なる。

本実施の形態に係る車両制御システムでは、図１５の割込処理に代えて図２９の割込処理が実行される。図２９を参照して、この割込処理（ルーチン）は、ステップＳ３７００〜ステップＳ３７４０の処理をさらに含む。図２９のステップＳ３６００及びステップＳ３６１０の処理は、図１５に示される各ステップにおける処理と同じである。

このルーチンは、ΔＴ２経過後さらにΔＴ３が経過すると起動される。このルーチンは、図２０に示されるＴ１〜Ｔ４（ΔＴ１＋ΔＴ２＋ΔＴ３）（以下、「ΔＴ１〜ΔＴ３」と呼ぶ。）の間におけるブレーキ踏力を計算するステップＳ３７００と、ステップＳ３７００の後に実行され、ΔＴ１〜ΔＴ３間における減速Ｇを計算するステップＳ３７１０とを含む。ステップＳ３７００では、例えば、ブレーキ踏力がΔＴ１〜ΔＴ３の間継続して所定のしきい値以上であるかを求める。

このルーチンはさらに、ステップＳ３７１０の後に実行され、ΔＴ１〜ΔＴ３間におけるブレーキ踏力が所定のしきい値以上であったか否かを判定し、判定結果に応じて制御の流れを分岐させるステップＳ３７２０と、ステップＳ３７２０において、ΔＴ１〜ΔＴ３間におけるブレーキ踏力が所定のしきい値以上であったと判定された場合に実行され、ΔＴ１〜ΔＴ３間における減速Ｇが所定のしきい値より小さいか否かを判定し、判定結果に応じて制御の流れを分岐させるステップＳ３７３０と、ステップＳ３７２０においてΔＴ１〜ΔＴ３間におけるブレーキ踏力が所定のしきい値以上ではないと判定された場合、又はステップＳ３７３０においてΔＴ１〜ΔＴ３間における減速Ｇが所定のしきい値より小さくない（しきい値以上である）と判定された場合に実行され、再初期化処理を実行するステップＳ３７４０とを含む。ステップＳ３７４０では、図１０のステップＳ３１１０と同様の再初期化処理が実行される。

このルーチンはさらに、ステップＳ３７３０において、減速Ｇが所定のしきい値より小さいと判定された場合に実行され、再初期化処理を実行するステップＳ３６００と、ステップＳ３６００の後に実行され、加圧装置２５０を制御してＳＭＤ処理を実行するステップＳ３６１０とを含む。ステップＳ３６１０又はステップＳ３７４０の処理が終了すると、この割込処理を終了してステップＳ２０００の通常処理（図８参照）に戻る。

本実施の形態に係る車両制御システムは、上記のように、再度、ブレーキ制御が不能な状態か否かを判定し、ブレーキ制御が不能な状態であると判定された場合に、ＳＭＤ処理を実行する。一旦、ブレーキ制御が不能であると判定された場合であっても、タイムアウトまでの時間（ΔＴ１〜ΔＴ３）に、不能な状態が解消されていれば、ＳＭＤ処理が実行されない。これにより、不要なＳＭＤ処理の実行を抑制できる。

（第６の実施の形態）
本実施の形態に係る車両制御システムは、運転者がブレーキペダルを踏み込んだときの踏力を検出（測定）する踏力センサに代えて、ブレーキペダルを踏み込んだときの踏力をブレーキ制御装置に伝達する油圧系における油圧（液圧）を検出（測定）する液圧センサが設けられている点において、第１の実施の形態とは異なる。

図３０を参照して、本実施の形態に係る車両制御システム１００Ａは、図３に示される、ブレーキ制御不能検出センサ１１０及び独立ブレーキシステム２００に代えて、それぞれ、ブレーキ制御不能検出センサ１１０ａ及び独立ブレーキシステム２００ａを含む。ブレーキ制御不能検出センサ１１０ａは、踏力センサ１１４（図３参照）に代えて、液圧センサ１１６を含む。独立ブレーキシステム２００ａは、制御装置２１０（図３参照）に代えて、制御装置２２０を含む。

図３１を参照して、制御装置２２０は、ブレーキ制御不能検出部２１２（図４参照）に代えて、ブレーキ制御不能検出部２１２ａを含む。

図３２を参照して、液圧センサ１１６は、ブレーキペダル４００とブレーキ制御装置８０との間に配置されるブレーキ配管４０８（より詳細には、マスタシリンダ４０４と油圧制御装置８２とを接続するブレーキ配管４０８）に設置されている。本実施の形態では、第１の実施の形態と同様、マスタシリンダ４０４はタンデム型とする。そのため、ブレーキ配管４０８は第１のブレーキ配管４０８ａ及び第２のブレーキ配管４０８ｂを含む。液圧センサ１１６は、第１の液圧センサ１１６ａ及び第２の液圧センサ１１６ｂを含む。第１の液圧センサ１１６ａは、第１のブレーキ配管４０８ａに設置されて、第１のブレーキ配管４０８ａ内の液圧（ブレーキオイルの油圧）を測定する。第２の液圧センサ１１６ｂは、第２のブレーキ配管４０８ｂに設置されて、第２のブレーキ配管４０８ｂ内の液圧（ブレーキオイルの油圧）を測定する。

図３３を参照して、例えばサイバー攻撃によりブレーキが効かない状況等になった場合、ブレーキペダル４００を踏み込めないほどのブレーキ反力が発生していることがある。そうした状況でブレーキペダル４００を踏み込むと、ブレーキ配管４０８内のブレーキオイルの液圧がより高くなる。液圧センサ１１６によってブレーキ配管４０８内の液圧を測定することにより、ブレーキ反力が発生していることを検出することが可能となる。

再び図３１を参照して、ブレーキ制御不能検出部２１２ａは、Ｇセンサ１１２からの加速度信号、及び液圧センサ１１６からのブレーキ液圧信号を監視している。ブレーキ制御不能検出部２１２ａは、加速度信号、及びブレーキ液圧信号に基づいて、ブレーキ制御装置８０によるブレーキ制御の不能を検出する。具体的には、ブレーキ制御不能検出部２１２ａは、ブレーキ配管４０８内の液圧が所定のしきい値を超えるとブレーキ反力が発生していると判定し、所定の踏力以上でのブレーキペダル４００の踏み込みがあったと判定する。ブレーキ制御不能検出部２１２ａはさらに、そのブレーキ踏力でのブレーキ操作に応じた減速Ｇが得られたか否かに基づいて、ブレーキ制御装置８０によるブレーキ制御が不能になったか否かを判断する。例えば、所定のしきい値を超える液圧と減速Ｇとの対応関係が予めメモリ２１０ｂ（図３０）に記憶されている。ブレーキ制御不能検出部２１２ａは、ブレーキ配管４０８内の液圧が所定のしきい値を超えたことに応答して、メモリ２１０ｂに記憶されている対応関係を参照して、そのときの液圧に対応する減速Ｇが得られたか否かに基づいてブレーキ制御が不能になったか否かを判断する。

ブレーキ配管４０８内の液圧が所定のしきい値を超えたか否かの判定は、例えば、第１の液圧センサ１１６ａ及び第２の液圧センサ１１６ｂのいずれかの検出値が所定のしきい値を超えたか否かに基づいて行うことができる。検出値には、第１の液圧センサ１１６ａ及び第２の液圧センサ１１６ｂの各検出値を演算した値を用いてもよい。その場合、演算に応じて、所定のしきい値を適宜変更するのが好ましい。

なお、液圧センサ１１６は、第１のブレーキ配管４０８ａ及び第２のブレーキ配管４０８ｂのいずれか一方にのみ設置する構成であってもよい。ただし、ブレーキ反力をより確実に検出することを考慮すると、第１のブレーキ配管４０８ａ及び第２のブレーキ配管４０８ｂの両方に液圧センサ１１６を設置して、両方のブレーキ配管内の液圧を監視するのが好ましい。

このように、本実施の形態では、踏力センサが検出するブレーキ踏力が所定のしきい値を超えたことをトリガとすることに代えて、液圧センサ１１６が検出するブレーキ配管内の液圧が所定のしきい値を超えたことをトリガとして第１の実施の形態で示した処理と同様の処理を実行する。これにより、第１の実施の形態と同様の効果を得ることができる。

その他の構成及び効果は、第１の実施の形態と同様である。

（第６の実施の形態の変形例）
本実施の形態に係る車両制御システムは、第６の実施の形態と同様、踏力センサに代えて、液圧センサを含む。ただし、本実施の形態では、液圧センサ１１６が検出する液圧が所定のしきい値を超えたか否かに基づいてブレーキ制御装置８０によるブレーキ制御が不能になったことを検出する点において、第６の実施の形態とは異なる。

液圧センサは、上述のように、ブレーキ反力の発生を検出する。ブレーキ反力の発生はサイバー攻撃に起因するものと想定できるため、ブレーキ反力の発生を検出することによって、サイバー攻撃によりブレーキが効かない状況等になったことを検出することが可能となる。そのため、本実施の形態では、液圧センサ１１６が検出する液圧が所定のしきい値を超えたか否か、すなわち、ブレーキ反力が発生しているか否かに基づいて、ブレーキ制御装置８０によるブレーキ制御が不能になったことを検出する。

このように、本実施の形態では、車両の減速状況を考慮せずにブレーキ制御装置８０によるブレーキ制御が不能になったことを検出する点において、第３の実施の形態と類似する。ただし、本実施の形態では、ブレーキ反力の発生に基づいてブレーキ制御が不能になったことを検出する点において、ブレーキ踏力に基づいてブレーキ制御が不能になったことを検出する第３の実施の形態とは異なる。

その他の構成は、第３の実施の形態又は第６の実施の形態と同様である。

（第７の実施の形態）
本実施の形態に係る車両制御システムは、踏力センサに加えて、上記した液圧センサを含む点において、第１の実施の形態又は第６の実施の形態とは異なる。

図３４を参照して、本実施の形態に係る車両制御システム１００Ｂは、図３に示される、ブレーキ制御不能検出センサ１１０及び独立ブレーキシステム２００に代えて、それぞれ、ブレーキ制御不能検出センサ１１０ｂ及び独立ブレーキシステム２００ｂを含む。ブレーキ制御不能検出センサ１１０ｂは、液圧センサ１１６をさらに含む。独立ブレーキシステム２００ｂは、制御装置２１０（図３参照）に代えて、制御装置２２２を含む。

液圧センサ１１６の構成及び設置位置等は、第６の実施の形態と同様である。

制御装置２２２は、Ｇセンサ１１２からの加速度信号、踏力センサ１１４からのブレーキ踏力信号、及び液圧センサ１１６からのブレーキ液圧信号を監視している。制御装置２２２は、加速度信号、及び、ブレーキ踏力信号又はブレーキ液圧信号に基づいて、ブレーキ制御装置８０によるブレーキ制御の不能を検出する。具体的には、制御装置２２２は、ブレーキ踏力が所定のしきい値を超えたときに、又は、ブレーキ配管４０８内の液圧が所定のしきい値を超えたときに、それに応じた減速Ｇが得られたか否かに基づいて、ブレーキ制御装置８０によるブレーキ制御が不能になったか否かを判断する。

本実施の形態では、ブレーキ踏力及び液圧の一方が各々のしきい値を超えると、ブレーキ制御装置８０によるブレーキ制御が不能か否かを判定する。なお、ブレーキ踏力及び液圧の両方が各々のしきい値を超えたときに、ブレーキ制御装置８０によるブレーキ制御が不能か否かを判定するようにしてもよい。また、踏力センサ１１４及び液圧センサ１１６の一方をメインとして使用し、他方をサブとして使用する構成であってもよい。

このように、本実施の形態では、踏力センサ１１４に加えて液圧センサ１１６をも設けることにより、ブレーキ制御装置８０によるブレーキ制御が不能になったか否をより精度よく判断できる。

その他の構成及び効果は、第１の実施の形態、又は、第６の実施の形態と同様である。

なお、本実施形態において、第３の実施の形態、及び第６の実施の形態の変形例で示したように、車両の減速状況を考慮せずにブレーキ制御装置８０によるブレーキ制御が不能になったことを検出するようにしてもよい。その場合、第３の実施の形態と同様、ブレーキ踏力が所定のしきい値を超えたか否かに基づいて、ブレーキ制御装置８０によるブレーキ制御が不能になったことを検出するように構成することができる。また、第６の実施の形態の変形例で示したように、液圧センサ１１６が検出する液圧が所定のしきい値を超えたか否かに基づいてブレーキ制御装置８０によるブレーキ制御が不能になったことを検出するようにしてもよい。

（変形例）
上記実施の形態では、カメラ及びレーダ装置から出力されるセンサデータを、独立ブレーキシステムの制御装置で解析する例について示したが、本開示はそのような実施の形態には限定されない。カメラ及びレーダ装置でセンサデータを解析して、衝突のおそれがあると判断した場合に制御装置に対して停止要求を出力するようにしてもよい。

上記実施の形態では、緊急停止ボタンの操作による停止要求、音声認識による停止要求、衝突のおそれの検出による停止要求、及びタイムアウトによる停止要求等の複数の停止要求を出力する例について示したが、本開示はそのような実施の形態には限定されない。これら停止要求のうちの少なくとも１つの停止要求を出力するよう構成されていればよい。例えば、上記実施の形態では、カメラ又はレーダ装置等から出力されるセンサデータに基づいて衝突のおそれを検知することが可能な車両について示したが、衝突のおそれを検知する機能が設けられない構成であってもよい。ただし、複数の停止要求を出力可能に構成されていれば、走行中の車両に緊急事態が生じた場合に被害をより一層、低減できる。なお、上記した停止要求以外の停止要求を出力可能に構成されていてもよい。

さらに、ブレーキ踏力としきい値との比較において、ブレーキ踏力がしきい値以上のときに上記した種々の処理を実行するようにしてもよいし、ブレーキ踏力がしきい値を超えたときに上記した種々の処理を実行するようにしてもよい。ブレーキ配管内の液圧としきい値との比較においても同様である。

上記実施の形態では、ブレーキペダルのパッド部に設けられる踏力センサによって、ブレーキ踏力を検出する例について示したが、本開示はそのような実施の形態には限定されない。ブレーキ踏力の検出は、こうしたセンサ以外のセンサを用いて行う構成であってもよい。図３５を参照して、例えば、ブレーキペダル４００のアーム部４００ｂに設けたひずみセンサ６００によりブレーキ踏力を検出する構成であってもよいし、プッシュロッド８８に設けたひずみセンサ６０２によりブレーキ踏力を検出する構成であってもよい。ブレーキペダル４００に踏力が付与されると、アーム部４００ｂ及びプッシュロッド８８がひずむため、ひずみセンサ６００及びひずみセンサ６０２でこれらのひずみを検出することでブレーキ踏力を測定できる。なお、ひずみセンサ６００及びひずみセンサ６０２の設置位置は特に限定されない。これら以外に、例えば、クレビスピン８６又はクレビス８４にセンサを設けることでブレーキ踏力を検出する構成としてもよい。踏力センサ、液圧センサ、及び、これらひずみセンサ等を適宜組合せて、ブレーキ踏力を検出する構成とすることもできる。これら以外の手法を用いてブレーキ踏力を直接的又は間接的に検出してもよい。ブレーキ制御が不能になったことの検出手法についても、上記実施の形態に示した手法以外の手法を用いてもよい。

上記実施の形態では、ブレーキ装置にいわゆるディスクブレーキ装置を採用した例について示したが、本開示はそのような実施の形態には限定されない。ディスクブレーキ装置以外の例えばドラムブレーキ装置をブレーキ装置として用いてもよい。

上記実施の形態では、ブレーキキャリパに対して、急ブレーキ相当の減速Ｇが得られるような加圧を行うＳＭＤ処理の例について示したが、本開示はそのような実施の形態には限定されない。例えば、ＳＭＤ処理において、停止に至る車速を適切に制御したり、一時的に車速を低減したり等のそのときの状況に応じた適切な減速制御を行うようにしてもよい。なお、ＳＭＤ処理が実行された場合、上述のように、サイバー攻撃により車両の制御が乗っ取られた可能性がある。車両の電子制御システムは信頼できない状態になっていることが十分に考えられる。そのため、ＳＭＤ処理が実行された場合、電子制御システムに対して適切な処置（例えばファームウェアの初期化又はアップデート等）が施されるまで、信頼性が低下している可能性があることを示す警告を行うよう構成されていると好ましい。

上記実施の形態では、緊急停止ボタンを１つ設ける例について示したが、本開示はそのような実施の形態には限定されない。緊急停止ボタンを複数（例えば２つ）設けて、これら複数の緊急停止ボタンが操作されたときに停止要求が出力されるようにしてもよい。

上記実施の形態では、緊急停止ボタンをダッシュボードの所定の位置にハードウェアボタンとして配置する例について示したが、本開示はそのような実施の形態には限定されない。緊急停止ボタンはハードウェアボタン以外の例えばソフトウェアボタンであってもよい。具体的には、例えば、ナビゲーションディスプレイ等のタッチパネル方式の表示装置に緊急停止ボタンを表示させる構成であってもよい。その場合、緊急停止ボタンの操作が必要な場合（例えば、ブレーキ制御が不能になったことを検出した場合）に当該緊急停止ボタンを表示させるようにするのが好ましい。このように構成することにより、緊急停止ボタンの誤操作を防止できる。

上記実施の形態では、運転者の意思に基づく停止要求の例として、緊急停止ボタンの押下、及び所定の発話音声の検出について示したが、本開示はそのような実施の形態には限定されない。例えば、運転者の心拍数を測定する心拍センサ、又は運転者の呼吸を測定する呼吸センサ等を搭載し、これらのセンサが運転者の居眠り、急病の発生等を検出した場合に停止要求を出力するようにしてもよい。さらに、運転者の脳波を測定し、運転者が感じ取る違和感から停止の意思を検出するようにしてもよい。

上記実施の形態において、レーダ装置を側方及び後方の少なくとも一方に取り付けることによって、左右、後方の地物との距離を求め、ブレーキ制動力を適切に制御するようにしてもよい。同様に、カメラを側方及び後方の少なくとも一方に取り付けることによって、左右、後方の地物の種別を求め、ブレーキ制動力を適切に制御するようにしてもよい。

上記第６の実施の形態では、第１の実施の形態において、踏力センサに代えて、液圧センサを設ける例について示したが、本開示はそのような実施の形態には限定されない。例えば、第２の実施の形態、第４の実施の形態、又は第５の実施の形態において、踏力センサに代えて、液圧センサを設けるようにしてもよい。第７の実施の形態についても同様である。

なお、上記で開示された技術を適宜組合せて得られる実施形態についても、本開示の技術的範囲に含まれる。

今回開示された実施の形態は単に例示であって、本開示が上記した実施の形態のみに限定されるわけではない。本開示の範囲は、発明の詳細な説明の記載を参酌した上で、特許請求の範囲の各請求項によって示され、そこに記載された文言と均等の意味及び範囲内での全ての変更を含む。

５０ 車両
５２ 車輪
５２ａ 前輪
５２ｂ 後輪
５４、１４０、４０８、５６０ ブレーキ配管
５６ スピーカ
５８ ナビゲーションディスプレイ
６０ 電子制御システム
６２ 車載ネットワーク
７０、７０ｄ、７０ｅ ＥＣＵ
７０ａ ブレーキ制御ＥＣＵ
７０ｂ エンジン制御ＥＣＵ
７０ｃ 燃料供給制御ＥＣＵ
７２、７２ａ、７２ｂ ネットワーク回線
７４ セントラルゲートウェイ
８０ ブレーキ制御装置
８２ 油圧制御装置
８４ クレビス
８６ クレビスピン
８８ プッシュロッド
９０ 各種センサ
１００、１００Ａ、１００Ｂ 車両制御システム、ＳＭＤ
１１０、１１０ａ、１１０ｂ ブレーキ制御不能検出センサ
１１２ 加速度センサ、Ｇセンサ
１１４ 踏力センサ
１１６ 液圧センサ
１１６ａ 第１の液圧センサ
１１６ｂ 第２の液圧センサ
１２０ 第１の停止要求出力部
１２２ 緊急停止ボタン
１２４ 音声認識装置
１２４ａ マイク
１２４ｂ 音声処理装置
１３０ 監視センサ
１３２ カメラ
１３４ レーダ装置
２００、２００ａ、２００ｂ、５００ 独立ブレーキシステム
２１０、２２０、２２２、５１０ 制御装置
２１０ａ ＣＰＵ
２１０ｂ メモリ
２１２、２１２ａ ブレーキ制御不能検出部
２１４ 第２の停止要求出力部
２１４ａ 安全停止距離監視部
２１４ｂ タイマ
２１６ ＳＭＤ処理部
２１８ 通知部
２５０、５５０ 加圧装置
２５２ ポンプ
２５４ モータ
２６０ バルブ
２６２ 切替弁
３００、３００ａ〜３００ｄ ブレーキ装置
３１０ ブレーキロータ
３２０ ブレーキキャリパ
４００ ブレーキペダル
４００ａ パッド部
４００ｂ アーム部
４００ｃ 支軸
４０２ ブレーキブースター
４０４ マスタシリンダ
４０６ リザーブタンク
４０８ａ 第１のブレーキ配管
４０８ｂ 第２のブレーキ配管
５７０ 電磁弁
６００、６０２ ひずみセンサ

Claims (17)

1. 車載ネットワークに接続されたブレーキ制御装置と、前記ブレーキ制御装置によって駆動されるブレーキ装置とを含む車両に搭載される車両制御システムであって、
   前記車両制御システムは、前記車載ネットワークから独立した状態で前記車両に搭載され、
   前記車両制御システムは、
   前記ブレーキ制御装置とは独立して前記ブレーキ装置を駆動する駆動部と、
   前記車両の走行時に前記ブレーキ制御装置によるブレーキ制御が不能になったことを検出する検出部と、
   前記車両の停止要求を出力する出力部と、
   前記ブレーキ制御装置によるブレーキ制御の不能の検出、及び前記停止要求の出力に基づいて、前記車両を停止させるよう前記駆動部を制御する制御部とを含む、車両制御システム。
2. 前記検出部は、前記ブレーキ制御装置に対するブレーキ操作に応じた減速が得られたか否かに基づいて、前記ブレーキ制御装置によるブレーキ制御が不能になったことを検出する、請求項１に記載の車両制御システム。
3. ブレーキペダルに対するブレーキ踏力を測定する踏力測定装置をさらに含み、
   前記検出部は、前記踏力測定装置によって測定されるブレーキ踏力と前記車両の減速状況とに基づいて、前記ブレーキ制御装置によるブレーキ制御が不能になったことを検出する、請求項２に記載の車両制御システム。
4. ブレーキペダルと前記ブレーキ制御装置との間に配置されるブレーキ配管に設けられ、当該ブレーキ配管内の液圧を測定する液圧センサをさらに含み、
   前記検出部は、前記液圧センサによって測定される液圧と前記車両の減速状況とに基づいて、前記ブレーキ制御装置によるブレーキ制御が不能になったことを検出する、請求項２に記載の車両制御システム。
5. ブレーキペダルに対するブレーキ踏力を測定する踏力測定装置をさらに含み、
   前記検出部は、前記ブレーキ踏力が所定のしきい値を超えたか否かに基づいて、前記ブレーキ制御装置によるブレーキ制御が不能になったことを検出する、請求項１に記載の車両制御システム。
6. ブレーキペダルと前記ブレーキ制御装置との間に配置されるブレーキ配管に設けられ、当該ブレーキ配管内の液圧を測定する液圧センサをさらに含み、
   前記検出部は、前記ブレーキ配管内の液圧が所定のしきい値を超えたか否かに基づいて、前記ブレーキ制御装置によるブレーキ制御が不能になったことを検出する、請求項１に記載の車両制御システム。
7. 前記ブレーキ制御装置によるブレーキ制御が不能になったことを前記検出部が検出したことに応答して、ブレーキ制御が不能になったことを前記車両の搭乗者に通知する通知部をさらに含む、請求項１から請求項６のいずれか１項に記載の車両制御システム。
8. 前記通知部はさらに、前記制御部により前記車両を停止させるよう前記駆動部が制御されたことに応答して、前記車両の停止処理を実行していることを前記車両の搭乗者に通知する、請求項１から請求項７のいずれか１項に記載の車両制御システム。
9. 前記車両内に設けられ、当該車両の搭乗者によって操作される停止ボタンをさらに含み、
   前記出力部は、前記停止ボタンの操作に応じて前記停止要求を出力する、請求項１から請求項８のいずれか１項に記載の車両制御システム。
10. 前記出力部は、
    前記車両の搭乗者の発話音声を認識する音声認識部と、
    前記音声認識部が所定の発話音声を認識したことに応答して、前記停止要求を出力する停止要求出力部とを含む、請求項１から請求項８のいずれか１項に記載の車両制御システム。
11. 前方に位置する地物に対して所定の停止距離が確保されているか否かを判定する判定装置をさらに含み、
    前記出力部は、前記判定装置の判定結果が否定であることに応答して、前記停止要求を出力する、請求項１から請求項８のいずれか１項に記載の車両制御システム。
12. 前記出力部は、前記検出部が前記ブレーキ制御装置によるブレーキ制御が不能になったことを検出した後に所定の時間が経過したことに応答して、前記停止要求を出力する、請求項１から請求項８のいずれか１項に記載の車両制御システム。
13. 前記ブレーキ装置は、車輪と一体に回転する被制動部材と、前記被制動部材を押圧することにより当該被制動部材の回転を制動する制動部材とを含み、
    前記駆動部は、前記被制動部材に対して前記制動部材を押圧するよう前記制動部材を加圧する加圧装置を含み、
    前記制御部は、前記加圧装置を制御することにより、前記被制動部材に対して前記制動部材を押圧させる、請求項１から請求項１２のいずれか１項に記載の車両制御システム。
14. 車載ネットワークに接続されたブレーキ制御装置と、前記ブレーキ制御装置によって駆動されるブレーキ装置とを含む車両に搭載される車両制御システムであって、
    前記車両制御システムは、前記車載ネットワークから独立した状態で前記車両に搭載され、
    前記車両制御システムは、
    前記ブレーキ制御装置とは独立して前記ブレーキ装置を駆動する駆動部と、
    前記車両の走行時に前記ブレーキ制御装置によるブレーキ制御が不能になったことを検出する検出部と、
    前記検出部が前記ブレーキ制御装置によるブレーキ制御の不能を検出したことに応答して、前記車両を停止させるよう前記駆動部を制御する制御部とを含む、車両制御システム。
15. 車載ネットワークに接続されたブレーキ制御装置と、前記ブレーキ制御装置によって駆動されるブレーキ装置とを含む車両に搭載される車両制御システムの制御方法であって、 前記車両制御システムは、前記車載ネットワークから独立した状態で前記車両に搭載されるとともに、前記ブレーキ制御装置とは独立して前記ブレーキ装置を駆動する駆動部を含み、
    前記制御方法は、
    前記車両の走行時に前記ブレーキ制御装置によるブレーキ制御が不能になったことを検出するステップと、
    前記車両の停止要求を出力するステップと、
    前記検出するステップにおいて検出された、前記ブレーキ制御装置によるブレーキ制御の不能、及び、前記出力するステップにおいて出力された前記停止要求に基づいて、前記車両を停止させるよう前記駆動部を制御するステップとを含む、制御方法。
16. ブレーキ装置と、車載ネットワークに接続され、前記ブレーキ装置を駆動するブレーキ制御装置とを含む車両であって、
    前記車両は、前記車載ネットワークから独立した車両制御システムをさらに含み、
    前記車両制御システムは、
    前記ブレーキ制御装置とは独立して前記ブレーキ装置を駆動する駆動部と、
    前記車両の走行時に前記ブレーキ制御装置によるブレーキ制御が不能になったことを検出する検出部と、
    前記車両の停止要求を出力する出力部と、
    前記ブレーキ制御装置によるブレーキ制御の不能の検出、及び前記停止要求の出力に基づいて、前記車両を停止させるよう前記駆動部を制御する制御部とを含む、車両。
17. 車載ネットワークに接続されたブレーキ制御装置と、前記ブレーキ制御装置によって駆動されるブレーキ装置とを含む車両に搭載される車両制御システムのコンピュータプログラムであって、
    前記車両制御システムは、前記車載ネットワークから独立したコンピュータと、前記ブレーキ制御装置とは独立して前記ブレーキ装置を駆動する駆動部とを含み、
    前記コンピュータプログラムは、前記コンピュータを、
    前記車両の走行時に前記ブレーキ制御装置によるブレーキ制御が不能になったことを検出する検出部、
    前記車両の停止要求を出力する出力部、及び、
    前記ブレーキ制御装置によるブレーキ制御の不能の検出、及び前記停止要求の出力に基づいて、前記車両を停止させるよう前記駆動部を制御する制御部として機能させる、コンピュータプログラム。

Images