"車両に搭載される機器を制御するための機能毎に分割された複数の機能モジュールと前記複数の機能モジュールを予め定められた順序で呼び出すオペレーションシステムとをプログラムとして格納するROMと、前記複数の機能モジュールと前記オペレーションシステムとを実行する演算処理部と、を備えた車両用制御装置であって、前記車両用制御装置の異常を検知するための異常検知部を備え、前記複数の機能モジュールそれぞれには、実行を停止した場合に前記車両の走行に与える影響に応じて予め安全度レベルが設定されており、前記オペレーションシステムは、前記異常検知部により異常が検知されたときに、前記安全度レベルに基づいて前記複数の機能モジュールのうちの一部の機能モジュールの実行を停止させる縮退モードへ遷移することを特徴とする車両用制御装置。請求項1に記載の車両用制御装置であって、前記複数の機能モジュールの実行結果を格納するRAMを備え、前記安全度レベルは、前記オペレーションシステムが前記縮退モードへ遷移したときに、機能モジュールを複数回実行した結果を前記RAMへ格納し、実行結果の比較を行う第一のレベルと、機能モジュールを一度のみ実行する第二のレベルと、機能モジュールの実行を停止して所定の異常時出力を行う第三のレベルと、を有することを特徴とする制御装置。請求項2に記載の車両用制御装置であって、前記オペレーションシステムは、前記異常検知部が検知した異常の種類に応じて、前記複数の機能モジュール全てを停止する停止モードと、前記縮退モードのいずれかへ遷移することを特徴とする制御装置。請求項3に記載の車両用制御装置であって、前記オペレーションシステムは、前記RAMにおいて、前記第一のレベルまたは前記第二のレベルが設定された機能モジュールが使用する領域に故障が発生した場合には前記停止モードに遷移し、前記第一のレベルおよび前記第二のレベル以外のレベルが設定された機能モジュールが使用する領域に故障が発生した場合には前記遷移モードに遷移することを特徴とする制御装置。請求項2に記載の車両用制御装置であって、前記演算処理部は複数の演算処理部からなり、前記複数の演算処理部は出力信号にいずれの演算処理部の出力結果かを表す識別子を付与し、前記識別子を付与した正常動作信号を定期的に出力し、前記複数の演算処理部それぞれの出力結果の比較または前記正常動作信号の出力に基づいて前記車両用制御装置の異常を検知することを特徴とする車両用制御装置。しかしながら、従来技術においては車両用制御装置に搭載されるプログラム中の機能モジュールそれぞれが車両制御装置全体に及ぼす影響について格別の配慮がなされていない。本発明は、車両制御装置に故障が発生した際に、車両制御装置全体に影響を及ぼすことなく、車両制御装置の信頼性維持とフェールセーフ処理の簡略化とを両立させることを目的とする。上記課題を解決するため、本発明は車両に搭載される機器を制御するための機能毎に分割された複数の機能モジュールと前記複数の機能モジュールを予め定められた順序で呼び出すオペレーションシステムとをプログラムとして格納するROMと、前記複数の機能モジュールと前記オペレーションシステムとを実行する演算処理部と、を備えた車両用制御装置であって、前記車両用制御装置の異常を検知するための異常検知部を備え、前記複数の機能モジュールそれぞれには、実行を停止した場合に前記車両の走行に与える影響に応じて予め安全度レベルが設定されており、前記オペレーションシステムは、前記異常検知部により異常が検知されたときに、前記安全度レベルに基づいて前記複数の機能モジュールのうちの一部の機能モジュールの実行を停止させる縮退モードへ遷移することを特徴とする車両用制御装置を提供する。本発明によれば、車両制御装置に故障が発生した際、車両制御装置の機能を、走行に必要な最低限の機能に限定することで、車両制御装置の信頼性を向上することができる。以下、図面に基づき、本発明の実施例を説明する。図1は本発明に関わる、車両制御装置に搭載された読出し専用メモリ以下、ROMに内蔵されるプログラムの構成である。プログラムは、プログラムを制御機能毎に分割した機能モジュール10と、機能モジュールを定められた実行順に実行するOS11とで構成される。機能モジュールには、設計者により安全度レベルが付与されており、機能モジュール毎の安全度レベルは車両制御装置に搭載された、ROMに格納される。安全度レベルは機能モジュールが車両制御装置全体に及ぼす影響などを考慮して、レベル1から3までの3段階で設定する。安全度レベル1,2は車両の走行に最低限必要な機能モジュールに対して設定され、レベル1,2の機能モジュールが健在であれば車両が走行可能となるよう設定する。機能が停止すると事故に繋がる場合など、特に信頼性が求められる機能モジュールにはレベル1を設定する。レベル3は停止しても車両の走行が継続可能な機能モジュールに対して設定する。たとえば、車両の乗り心地や燃費に関する機能などに対して設定する。ただし、本実施例では3段階としたが、2段階や4段階以上でも良い。そして各安全度レベルに応じて、制御装置に異常や故障が発生したときの、各モジュールの動作をあらかじめ割り付けておく。たとえば、安全度レベルが1の機能モジュールには、規定実行回数が設定され、ROMに格納される。安全度レベルが3の機能モジュールには、異常時出力が設定され、ROMに格納される。また、安全度レベルは、例えば機能安全規格であるISO26262におけるASILに対応してもよい。OSは、演算処理部外部に備えられる車両制御装置の故障を監視する故障検知手段からの故障情報を入力し、上記あらかじめ割り付けておいた動作に従い、機能モジュールの動作を決定する。図2はOSの動作を表すフローチャートである。OSは車両制御装置の故障、たとえばメモリの書き込み不能など、を検知する故障検知手段からの故障発生が発生したことを知らせる故障通知をチェックし20、正常動作時、すなわち故障通知がない場合、機能モジュールを実行する21。実行後、次に実行する機能モジュールを呼び出し22、あらかじめ定められた順序で機能モジュールを実行していく。OSが車両制御装置上の故障検知手段から故障通知を受け取った場合、故障の内容に応じて、故障モードを、演算処理部の処理を全て停止する停止モードと、機能モジュールの一部を動作させる縮退モードに切り替える24。停止モードに遷移した場合、OSは機能モジュールを実行せず、演算処理部を停止する25。縮退モードに遷移した場合、OSは機能モジュールの安全度レベルに応じて機能モジュールの動作を決定する26。たとえば、演算処理部の故障により正常な演算を実施できなくなったと故障検知手段から通知を受けた場合、故障モードを停止モードに切り替え演算処理部は全ての処理を停止する。また、メモリの一部が故障した場合、走行に最低限必要な機能モジュールが使用するメモリ領域以外の領域での故障であれば、縮退モードに切り替え限定された機能モジュールにて処理を継続する。安全度レベル1のとき、機能モジュールの入力データ、すなわち機能モジュールが参照する、車両制御装置に搭載された、読出し書込みメモリ以下、RAMのアドレスとデータを、RAM上にあらかじめ設定したバックアップ領域に書き込む27。OSは機能モジュールの実行回数をカウントするカウンタを0に初期化する28。OSは機能モジュールを実行して29、カウンタをインクリメントする210。OSは機能モジュールの実行結果、すなわち機能モジュールが書き込みを行ったRAM領域のアドレスとデータをバックアップ領域に書き込む211。OSはバックアップ領域に書き込んだ入力データのアドレスとデータから、入力データのRAMを実行前の状態に復元する212。OSは機能モジュールを実行して213、カウンタをインクリメントする214。OSはカウンタが規定実行回数以上になれば、実行結果の比較を行う216。カウンタが規定実行回数より小さければ、実行結果をバックアップ領域に書き込む211。バックアップ領域に退避した全ての実行結果と、最後の実行結果を比較して216、一致していれば、次回実行する機能モジュールを呼び出し219、不一致であればカウンタを初期化して28再度機能モジュールの演算を実行する。このように、機能モジュールを複数回実行した結果を比較し、不一致の場合同様の演算を再度実施することで、制御装置外部の電気磁気的な外乱等の影響で、演算処理部が不正な動作を行った結果、演算結果が不正となる場合においても、不正な結果の検知と訂正が可能となり、演算結果の信頼性を向上することができる。安全度レベル2のとき、OSは機能モジュールを一回だけ実行して217、次に実行する機能モジュールを呼び出す219。安全度レベル2は、安全要求、信頼性が安全度レベル1を付与される機能モジュールよりも低い機能モジュールに付与される。こうすることでより信頼性の要求が高い機能モジュールに限定して複数回の演算を実行するので、演算処理部の処理負荷を低減することができる。安全度レベル3のとき、OSは機能モジュールを実行せず、ROMに格納された非常時出力を機能モジュールの実行結果を格納するRAMに書き込み218、機能モジュールの出力を固定値として、次に実行する機能モジュールを呼び出す219。安全度レベル3を設定する機能モジュールは処理を停止しても走行が可能なものである。安全度レベル3の機能モジュールを停止することで、安全度レベル1の機能モジュールにおいて、複数回処理を実施することで増加する処理負荷を軽減する。次に実行する機能モジュールの呼出し219後に、検知済みの故障以外の新たな故障があるかチェックして220、新規の故障があれば、故障判断23を実施し、新規の故障がなければ、次に実行する機能モジュールの安全度レベルを確認する26。このように、故障判断が新規の故障通知が無い限り実施されないようにすれば、さらに処理負荷を低減することが可能となる。以下に、電動倍力装置における実施例を示す。電動倍力装置は運転手のブレーキペダル踏力の倍力を一般に内燃機関で動作する車両が備えるバキュームブースタのように負圧を利用せず、モータの駆動力により発生させる。本システムは、ブレーキペダルの踏み込み量、または電動倍力装置外部からの液圧指令に応じて、モータによってマスタシリンダを駆動して液圧を発生させるものである。図3は電動倍力装置における構成図となっている。電動倍力装置は、ブレーキ液圧を発生するマスタシリンダ38と、マスタシリンダ38が発生させる液圧M/C圧を測定する圧力センサ39と、マスタシリンダ38を駆動するモータ35と、モータの位置を測定するレゾルバ37と、モータに流れる電流を測定する電流センサ36と、モータを駆動する三相ブリッジ34と、三相ブリッジ34へ電流指令を与えるモータ制御装置30と、ブレーキペダルの踏み量を検知するストロークセンサ310と車載ネットワーク311との接続手段を有する。モータ制御装置30は、演算処理部31,メモリ部32と、メモリの故障を監視する故障検知部33を有する。演算処理部31は、メモリ部32と相互に接続され、メモリ部32からプログラムを読み込み、演算結果をメモリ部32に入力する。メモリ部32は、RAMとROMで構成される。故障検知部33は、演算処理部31とメモリ部32に接続され、メモリ部32の故障を監視する。故障検知部33がメモリ部32の故障を検知したとき演算処理部31にメモリ部32の故障情報を通知する。メモリ部32の故障情報には、メモリ部のどのアドレスで故障が発生したかが含まれる。図4は本発明に関わる、電動倍力装置のモータ制御装置30に搭載されたメモリ部32のROMに内蔵されるプログラムの構成である。プログラムは、プログラムを制御機能毎に分割した機能モジュールと、機能モジュールを定められた実行順に実行するOSとで構成される。OSは、故障検知部から出力された故障情報を入力する。機能モジュールには安全度レベルが付与される。安全度レベル1の機能モジュールには、規定実行回数が付与される。安全度レベル1の機能モジュールは、付与された規定実行回数だけ処理を繰り返すことで、演算結果の信頼性を向上する。安全度レベル3の機能モジュールには、異常時出力が付与され、縮退モードに遷移した場合処理を停止し、異常時出力を固定値として出力する、これにより処理負荷を軽減する。以下に機能モジュールの詳細を述べる。位置指令算出41はストロークセンサからの入力から位置指令値を算出する。M/C圧センサ信号処理42はM/C圧センサの出力である電圧値を、実際の圧力量に変換する処理である。モータ位置算出43はレゾルバからのモータ角情報を下に、モータの位置を算出する。液圧偏差算出44は、電動倍力装置の外部から車載ネットワーク経由で電動倍力装置に入力される液圧指令値とM/C圧センサ信号処理で計算したM/C圧の偏差を算出する。液圧相当位置指令算出45は液圧偏差とモータ位置から、液圧に相当する位置指令値液圧相当位置指令値を生成する。切替フラグ生成46は、電動倍力装置内外からの情報を元に指令値として、位置指令か液圧相当位置指令かどちらを選択するかを判定する。指令値選択47は、切替フラグ生成の判定結果を元に指令値を、位置指令値と液圧相当位置指令値のいずれかから選択する。位置偏差算出処理48は、指令値選択で選択された指令値とモータ位置の偏差位置偏差を算出する。サーボ制御49は、位置偏差から、電流指令値を算出する。電流制御処理410は、電流指令値に、モータ電流などから生成される電流制限や電圧制限をかけて三相電流指令値を出力する。位置指令値は、ストロークセンサから入力した、ブレーキペダルの移動量から算出する41。算出した位置指令を、レゾルバから入力したモータ角情報を元に算出したモータ位置と偏差を取り48、偏差からモータへの電流指令値を算出する49。液圧相当位置指令値は、液圧指令値とM/C圧の偏差から、液圧偏差に相当する位置偏差を算出し、液圧偏差に相当する位置偏差と現在のモータ位置を足して、算出する45。液圧相当位置指令をレゾルバから入力したモータ角情報を元に算出したモータ位置と偏差を取り48、偏差からモータへの電流指令値を算出する49。相対位置制御と液圧制御の切り替えは位置指令値の切り替えによって行われる。制御の切り替えの判定は、切替フラグ生成46で行い、実際の位置指令値の切り替えは指令値選択47により行う。各機能モジュールに設定されるレベルは、処理を停止しても車両が走行可能なものか否かで設定され、位置指令算出41がレベル2、M/C圧センサ信号処理42がレベル3、モータ位置算出43がレベル2、液圧偏差算出44がレベル3、液圧相当位置指令算出45がレベル3、切替フラグ生成46がレベル3、指令値選択47がレベル2、位置偏差算出処理48がレベル2、サーボ制御49がレベル2、電流制御処理410がレベル2となる。電動倍力装置における、OS動作は前述の図2に示すフローチャートのとおりである。図5は電動倍力装置における、図2における故障判断23の詳細動作である。OSは故障検知部が出力するメモリ部の故障情報の、故障が起きたメモリのアドレスから、故障モードの判定を行う。走行に最低限必要となる安全度レベル1,2の機能モジュールが使用するメモリ領域が故障すると、走行が不可能となることから、制御装置として制御を停止する。安全度レベル3の機能モジュールは処理を停止しても走行を継続できるため、安全度レベル3の機能モジュールが使用するメモリ領域が故障した場合は、機能を限定して制御を継続する。OSは安全度レベルが1と2の機能モジュールが使用するメモリのアドレスを算出する51。ここでは、機能モジュールが使用するアドレスを算出するが、機能モジュールが使用するアドレスをあらかじめROMに格納していてもよい。故障情報に含まれる、故障メモリのアドレスと、算出した、安全度レベルが1,2の機能モジュールが使用するメモリのアドレスを比較して52、比較結果が一致すれば、走行に最低限必要となる安全度レベル1,2の機能モジュールが使用するメモリ領域が故障していることになるため、故障モードを停止モードに遷移する54。比較結果が不一致であれば、安全度レベル3の機能モジュールが使用するメモリ領域が故障したことになるため、故障モードを縮退モードに遷移する55。故障モードが縮退モードに遷移した場合、電動倍力装置のモータ制御装置の機能を走行に必要な必要最低限のものに限定し、制御を継続する。ここでいう走行に必要最低限必要な機能とはすなわち、通常のブレーキ動作であり、自動ブレーキ機能や回生協調機能については機能を停止する。そのため、機能モジュールの安全度レベルは、通常のブレーキ動作の制御である相対位置制御に関わる機能モジュール、すなわち、位置指令算出41,モータ位置算出43,指令値選択47,位置偏差算出処理48,サーボ制御49,電流制御処理410をレベル2に設定し、液圧制御に関わる、そのほかの機能モジュール,M/C圧センサ信号処理42,液圧偏差算出44,液圧相当位置指令算出45,切替フラグ生成46の安全度レベルをレベル3に設定する。安全度レベル3に設定した機能モジュールに対して、OSは異常時出力を保持しており、OSが機能モジュールの出力に対応するRAMに異常時出力を書き込み、機能モジュールは常に異常時出力を出力する。たとえば、機能モジュール切替フラグ生成46の異常時出力を、機能モジュール位置指令算出41からの指令値を常に選択するものに設定すると、OSは切替フラグ生成46の出力値が格納されるRAM、つまり指令値選択47の入力値が格納されるRAMに、機能モジュール位置指令算出41からの指令値を常に選択するデータを書き込む。これにより指令値選択47は位置指令算出41からの指令値を常に選択するようになる。上記のように、安全度レベルと異常時出力を設定することで、OSは安全度レベル2に設定された、相対位置制御に関わる機能モジュールのみを動作させ、指令値の切り替えでは常に位置指令算出41の出力が選択されるようになるため、モータ制御装置は常に通常のブレーキ動作を行うことになり、必要最低限の機能である、通常のブレーキ動作を続行することができる。なお、本実施例においては、走行に必要最低限の機能モジュールに対して、安全度レベル1が設定されない場合を想定しているが、より高い信頼性が求められる場合、レベル2の機能モジュールをレベル1に置き換えても良い。上記実施例によれば、一部のメモリが故障した際に、故障したメモリを使用する機能モジュールが、走行に最低限必要なものでない限り、演算処理部の全ての制御を停止することなく、走行に必要な最低限な機能に限定して制御を継続することができる。図6に複数の演算処理部を有する電動倍力装置の実施例における構成図を示す。ここでは演算処理部を2つの場合として説明するが、本発明において、演算処理部の台数に制限は無い。本実施例において、電動倍力装置は、ブレーキ液圧を発生するマスタシリンダ38と、マスタシリンダ38が発生させる液圧M/C圧を測定する圧力センサ39と、マスタシリンダ38を駆動するモータ35と、モータの位置を測定するレゾルバ37と、モータに流れる電流を測定する電流センサ36と、モータを駆動する三相ブリッジ34と、三相ブリッジ34へ電流指令を与えるモータ制御装置60と、ブレーキペダルの踏み量を検知するストロークセンサ310と車載ネットワーク311との接続手段を有する。モータ制御装置60は、2つの演算処理部61a,61b,2つのメモリ部62a,62bと、演算処理部61a,61bの故障を監視する故障検知部63、2つの演算処理部の演算結果を比較する演算結果比較部64を有する。演算処理部61a,61bは、メモリ部62a,62bと相互に接続され、メモリ部62a,62bからプログラムを読み込み、演算結果をメモリ部62a,62bに入力する。全ての演算処理部61a,61bは固有の識別子を有する。メモリ部62a,62bは、RAMとROMで構成される。演算処理部61a,61bは、演算結果比較部64と相互に接続され、演算結果比較部64にどの演算処理部61a,61bが出力した演算結果であるかを特定するための識別子の情報を付与した演算結果信号を出力する。また全ての演算処理部61a,61bは故障検知部63に接続され、識別子の情報を付与した正常動作信号を出力する。故障検知部63は、演算処理部61a,61bと演算結果比較部64に接続され、演算処理部61a,61bから正常動作信号が送信されているか監視する。演算処理部61a,61bからの正常動作信号が一定時間受信できない場合、演算処理部61a,61bと演算結果比較部64に故障通知信号を出力する。図7は図6の実施例における、モータ制御装置60の動作を示したフローチャートである。演算処理部61a,61bは一定のタイミングで故障検知部63に正常動作確認信号に出力する710。故障検知部63は正常動作信号を入力して720、一定時間入力がない場合、演算処理部が故障したと判断して、全ての演算処理部61a,61bと演算結果比較部64に故障通知信号を出力する722。故障通知信号には、故障した演算処理部61aないし61bの識別子が付与される。演算処理部61a,61bは故障通知の確認を行い711、故障通知がある場合、演算処理部61a,61bで実行されるOSに故障を通知する713。演算処理部61a,61bは、演算を実行し714、演算結果を演算結果比較部64に出力する715。演算結果比較部64は、故障検知部63から出力される、故障通知信号を確認して730、故障通知がなければ、全ての演算処理部61a,61bからの演算結果を比較する732。比較結果が一致すれば、演算結果をモータ制御装置の外部に出力して、出力完了通知を演算処理部61a,61bに出力する736。不一致であれば、演算処理部61a,61bに再計算要求信号を出力し734、再度演算結果を比較する732。故障検知部63から出力される、故障検知信号を確認したとき、故障通知があった場合、故障通知信号に含まれる故障した演算処理部61aないし61bの識別子をもとに、故障していない演算処理部61aないし61bの出力を比較結果として735、故障していない演算処理部61aないし61bでモータ制御を継続する。演算処理部61a,61bは演算結果比較部が出力した、再計算要求信号もしくは、出力完了通知を入力して716、再計算要求を入力した場合、再度演算を実行する714。出力完了通知を入力した場合、正常動作確認信号を出力する710。図8は図6の実施例における、モータ制御装置60に搭載されたメモリ部62a,62bのROMに内蔵されるプログラムの構成である。プログラムは、プログラムを制御機能毎に分割した機能モジュールと、機能モジュールを定められた実行順に実行するOSとで構成される。OSは、故障検知部63から出力された故障情報を入力する。機能モジュールには安全度レベルが付与される。安全度レベル1の機能モジュールには、規定実行回数が付与される。安全度レベル3の機能モジュールには、異常時出力が付与される。本実施例では、演算処理部の冗長化が実施されている制御装置であることから、制御装置に求められる信頼性は高いと想定し、走行に最低限必要な機能モジュールに安全度レベル1が設定しているが、これを安全度レベル2に設定してもよい。以下に機能モジュールの詳細を述べる。位置指令算出81はストロークセンサからの入力から位置指令値を算出する。M/C圧センサ信号処理82はM/C圧センサの出力である電圧値を、実際の圧力量に変換する処理である。モータ位置算出83はレゾルバからのモータ角情報を下に、モータの位置を算出する。液圧偏差算出84は、電動倍力装置の外部から車載ネットワーク経由で電動倍力装置に入力される液圧指令値とM/C圧センサ信号処理で計算したM/C圧の偏差を算出する。液圧相当位置指令算出85は液圧偏差とモータ位置から、液圧に相当する位置指令値液圧相当位置指令値を生成する。切替フラグ生成86は、電動倍力装置内外からの情報を元に指令値として、位置指令か液圧相当位置指令かどちらを選択するかを判定する。指令値選択87は、切替フラグ生成の判定結果を元に指令値を、位置指令値と液圧相当位置指令値のいずれかから選択する。位置偏差算出処理88は、指令値選択で選択された指令値とモータ位置の偏差位置偏差を算出する。サーボ制御89は、位置偏差から、電流指令値d軸q軸を算出する。電流制御処理810は、電流指令値に、モータ電流などから生成される電流制限や電圧制限をかけて三相電流指令値を出力する。位置指令値は、ストロークセンサから入力した、ブレーキペダルの移動量から算出する81。算出した位置指令を、レゾルバから入力したモータ角情報を元に算出したモータ位置と偏差を取り88、偏差からモータへの電流指令値を算出する89。液圧相当位置指令値は、液圧指令値とM/C圧の偏差から、液圧偏差に相当する位置偏差を算出し、液圧偏差に相当する位置偏差と現在のモータ位置を足して算出する85。液圧相当位置指令をレゾルバから入力したモータ角情報を元に算出したモータ位置と偏差を取り88、偏差からモータへの電流指令値を算出する89。相対位置制御と液圧制御の切り替えは位置指令値の切り替えによって行われる。制御の切り替えの判定は、切替フラグ生成86で行い、実際の位置指令値の切り替えは指令値選択87により行う。図6の実施例における、OS動作は前述の図2に示すフローチャートに示すとおりである。一部の演算処理部に故障が発生した場合、残った演算処理部で制御を続行することになるが、演算結果の信頼性は低下してしまう。そこで、制御装置の機能を走行に必要な必要最低限のものに限定し、限定された機能について、複数回の演算を行うことで、限定された機能の信頼性を向上する。図9は図6の実施例における、図2の故障判断23の詳細動作である。OSは故障検知部が出力する故障情報に含まれる、故障した演算処理部62aないし62bの識別子から、故障モードの判定を行う。故障情報に含まれる故障した演算処理部62aないし62bの識別子と、OSが実行される演算処理部62aないし62bの識別子を比較して90、比較結果が一致すれば、すなわち、故障した演算処理部がOSが実行される演算処理部であれば、暴走の可能性もあるため、故障モードを停止モードに遷移して91、処理を停止し、演算処理部が不正な出力をしないようにする。このとき演算処理部は故障によりすでに処理を停止している場合もある。比較結果が不一致であれば、すなわち、故障した演算処理部がOSが実行される演算処理部でなければ、故障モードを縮退モードに遷移する92。故障モードが縮退モードに遷移した場合、電動倍力装置のモータ制御装置60の機能を走行に必要な必要最低限のものに限定し、通常動作において複数の演算処理部62a,62bでの並列計算で確保していた信頼性を、残った演算処理部62aないし62bにおいて、同じ処理を複数回実行することで、確保し、制御を継続する。ここでいう走行に必要最低限必要な機能とはすなわち、通常のブレーキ動作であり、自動ブレーキ機能や回生協調機能については機能を停止する。そのため、機能モジュールの安全度レベルは、相対位置制御に関わる機能モジュール、すなわち、位置指令算出81,モータ位置算出83,指令値選択87,位置偏差算出処理88,サーボ制御89,電流制御処理810をレベル1に設定し、液圧制御に関わる、そのほかの機能モジュールの安全度レベルをレベル3に設定する。安全度レベル3に設定した機能モジュールは、異常時出力を保持しており、OSがRAMに異常時出力を書き込む。機能モジュール切替フラグ生成86の異常時出力を、機能モジュール位置指令算出81からの指令値を常に選択するものに設定すると、切替フラグ生成86の出力値が格納されるRAMつまり、指令値選択87の入力値が格納されるRAMに機能モジュール位置指令算出81からの指令値を常に選択するデータを書き込む。上記のように、安全度レベルと異常時出力を設定することで、OSは安全度レベル1に設定された、相対位置制御に関わる機能モジュールに関しては複数回実行し、その結果を比較して信頼性を確保し、指令値の切り替えでは常に位置指令算出81の出力が選択されるようになるため、モータ制御装置は常に通常のブレーキ動作を行うことになり、必要最低限の機能である、通常のブレーキ動作を演算結果の信頼性を確保して続行することができる。上記のように、安全度レベルに応じて機能モジュールの実行制御を行うことで、一部の演算処理部の故障時に、車両の安全上必要最低限の機能に限定して、限定された機能の信頼性を高めることで、故障時における信頼性を向上する。また、複数コアを内蔵するマイコンにおいて一部のコアに故障が発生した場合、故障と判定されたコア以外の部分へ故障が波及している可能性がある。今発明を適用すれば、コアの演算処理を最低限走行に必要な機能に限定するため、一部コアの故障の影響が他の部分へ波及していた場合でも、故障の影響を最小限にすることができる。"