"ひとつの事象を検出して第1の出力信号S1を発生する第1のセンサ3と、同一の前記事象を検出して第2の出力信号S2を発生する第2のセンサ4と、前記第1のセンサが接続され、前記第1の出力信号S1が入力される第1の処理装置11と、前記第2のセンサが接続され、前記第2の出力信号S2が入力される第2の処理装置12と、前記第1の出力信号と前記第2の出力信号とを入手するための信号通信部23、33、43、153、353と、前記第1の出力信号と前記第2の出力信号とを照合し、前記センサまたは前記処理装置の異常を判定する信号照合部25、35、45、154、354とを備えることを特徴とする車両用制御装置。すべての前記処理装置は、前記出力信号に基づいて通常の制御処理を実行する通常制御部22、32、42、159、359と、前記信号照合部により前記センサまたは前記処理装置の異常が判定されるとき、前記通常制御部に代わってフェールセーフ処理を実行するフェールセーフ制御部28、38、48、161-163、263、272、361、363、383-385とを備えることを特徴とする請求項1に記載の車両用制御装置。さらに、前記第1の出力信号または前記第2の出力信号が正常範囲内か否かを評価する信号評価部24、34、44、152、352を備えることを特徴とする請求項1または請求項2に記載の車両用制御装置。前記信号通信部と前記信号照合部とは、前記第1の処理装置および/または前記第2の処理装置に設けられていることを特徴とする請求項1から請求項3のいずれかに記載の車両用制御装置。前記信号通信部と前記信号照合部とは、前記第1のセンサとも、前記第2のセンサとも接続されていない第3の処理装置313に設けられていることを特徴とする請求項1から請求項4のいずれかに記載の車両用制御装置。前記信号通信部と前記信号照合部とは、複数の前記処理装置に設けられており、さらに、複数の前記信号照合部における判定の結果R1、R2を入手する結果通信部26、36、46、155、156、355、356と、複数の前記結果を照合し、前記結果が同一か否かを判定する結果照合部27、37、47、157、158、357、358とを備えることを特徴とする請求項1から請求項5のいずれかに記載の車両用制御装置。前記信号通信部と前記信号照合部とは、3つの前記処理装置11、12、313に設けられており、さらに、複数の前記信号照合部における判定の結果R1-R3を入手する結果通信部46、355、356と、複数の前記結果の多数決により異常な前記処理装置を特定する多数決処理部40、381、382とを備えることを特徴とする請求項5に記載の車両用制御装置。従来技術の構成では、センサからの入力信号が異常であっても、制御装置が正常であると、同じ演算結果が得られるから、センサおよびその入力系統の異常を検出できないという問題があった。本発明は上記問題点に鑑みてなされたものであり、その目的は、センサに関連する異常を検出することができる車両用制御装置を提供することである。本発明の他の目的は、同じ事象を検出するための二重化された二重化センサの異常、および処理装置の異常を検出することができる車両用制御装置を提供することである。本発明は上記目的を達成するために以下の技術的手段を採用する。請求項1に記載の発明は、ひとつの事象を検出して第1の出力信号S1を発生する第1のセンサ3と、同一の事象を検出して第2の出力信号S2を発生する第2のセンサ4と、第1のセンサが接続され、第1の出力信号S1が入力される第1の処理装置11と、第2のセンサが接続され、第2の出力信号S2が入力される第2の処理装置12と、第1の出力信号と第2の出力信号とを入手するための信号通信部23、33、43、153、353と、第1の出力信号と第2の出力信号とを照合し、センサまたは処理装置の異常を判定する信号照合部25、35、45、154、354とを備えることを特徴とする。この構成によると、2つの出力信号の一方を第1の処理装置だけに入力し、他方を第2の処理装置だけに入力する構成が採用される。この場合であっても、センサに関連する異常を検出することができる。例えば、センサ、第1の処理装置、および第2の処理装置のいずれかにおける異常が検出される。請求項2に記載の発明は、すべての処理装置は、出力信号に基づいて通常の制御処理を実行する通常制御部22、32、42、159、359と、信号照合部によりセンサまたは処理装置の異常が判定されるとき、通常制御部に代わってフェールセーフ処理を実行するフェールセーフ制御部28、38、48、161-163、263、272、361、363、383-385とを備えることを特徴とする。この構成によると、異常が判定されたときにはフェールセーフ制御を提供することができる。請求項3に記載の発明は、さらに、第1の出力信号または第2の出力信号が正常範囲内か否かを評価する信号評価部24、34、44、152、352を備えることを特徴とする。この構成によると、信号照合部による異常検出に加えて、さらに、出力信号が正常範囲内か否かによってセンサだけの異常を検出することができる。請求項4に記載の発明は、信号通信部と信号照合部とは、第1の処理装置および/または第2の処理装置に設けられていることを特徴とする。この構成によると、第1の処理装置および第2の処理装置の少なくとも一方において、センサに関連する異常を検出することができる。請求項5に記載の発明は、信号通信部と信号照合部とは、第1のセンサとも、第2のセンサとも接続されていない第3の処理装置313に設けられていることを特徴とする。この構成によると、第3の処理装置において、または第3の処理装置においても、センサに関連する異常を検出することができる。請求項6に記載の発明は、信号通信部と信号照合部とは、複数の処理装置に設けられており、さらに、複数の信号照合部における判定の結果R1、R2を入手する結果通信部26、36、46、155、156、355、356と、複数の結果を照合し、結果が同一か否かを判定する結果照合部27、37、47、157、158、357、358とを備えることを特徴とする。この構成によると、複数の判定の結果に基づいて、異常の原因の探索が可能である。例えば、信号照合の複数の結果が等価で同一である場合、信号照合の複数の結果が不等価で同一である場合、または信号照合の複数の結果が同一ではない場合に応じて異常の原因を探索できる。請求項7に記載の発明は、信号通信部と信号照合部とは、3つの処理装置11、12、313に設けられており、さらに、複数の信号照合部における判定の結果R1-R3を入手する結果通信部46、355、356と、複数の結果の多数決により異常な処理装置を特定する多数決処理部40、381、382とを備えることを特徴とする。この構成によると、複数の判定の結果に基づいて、異常な処理装置を特定することができる。なお、特許請求の範囲および上記手段の項に記載した括弧内の符号は、ひとつの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本発明の技術的範囲を限定するものではない。以下に、図面を参照しながら本発明を実施するための複数の形態を説明する。各形態において先行する形態で説明した事項に対応する部分には同一の参照符号を付して重複する説明を省略する場合がある。各形態において構成の一部のみを説明している場合は、構成の他の部分については先行して説明した他の形態を適用することができる。また、後続の実施形態においては、先行する実施形態で説明した事項に対応する部分に百以上の位だけが異なる参照符号を付することにより対応関係を示し、重複する説明を省略する場合がある。各実施形態で具体的に組合せが可能であることを明示している部分同士の組合せばかりではなく、特に組合せに支障が生じなければ、明示してなくとも実施形態同士を部分的に組み合せることも可能である。第1実施形態図1は、本発明を適用した第1実施形態の構成を示す。車両用制御装置1は、車両に搭載されている。車両用制御装置1は、車両の挙動を制御するための車両挙動制御装置を提供する。車両用制御装置1は、車両の運転者を含む利用者からの要求に応じて、さらに、車両の実際の挙動に応じて、車両の走行挙動を望ましい状態に制御するように構成されている。車両用制御装置1は、走行のための駆動力と、走行のための制動力とを制御する。車両用制御装置1は、内燃機関と電動機との少なくともひとつによって選択的に車両を走行させることができるハイブリッド車両のための制御システムである。車両用制御装置1は、は、車両の挙動を制御するために必要な情報を入力するためのセンサSNR2を備える。センサ2は、車両の利用者からの要求を入力する要求入力センサである。センサ2は、同一の事象を検出するために二重化された二重化センサを提供する。二重化されたセンサ2は、信頼性の向上に貢献する。センサ2は、同一の事象を検出する複数のセンサSNR1、SNR23、4を備える。センサ2は、例えば、車両の運転者によって操作されるアクセルペダルの操作量、すなわち踏込量を検出する。複数のセンサ3、4は、検出対象であるアクセルに連結され、アクセルペダルの操作量に応じた出力信号S1、S2を出力する。センサ2の機械的部分、および電気的部分が正常であるとき、センサ3の出力信号S1と、センサ4の出力信号S2とは、一致している。センサ3は第1のセンサ3とも呼ばれる。センサ4は、第2のセンサ4とも呼ばれる。車両用制御装置1は、車両の挙動を変化させる走行機器VHDD5を備える。走行機器5は、車両の挙動に影響を与える複数の機器5a、5bを備える。走行機器5は、車両の車輪6の回転速度を加速または減速する機器5a、5bを含む。走行機器5は、車両の車輪に加えられる駆動力を調節する機器5a、5bを含む。機器5aは、例えば、内燃機関EGによって提供される。また、機器5bは、例えば、電動発電機MGによって提供される。機器5a、5bは、車輪6の回転速度を減速することもできるから、車輪6の回転を制動する機器でもある。走行機器5は、内燃機関および電動発電機の少なくとも一方によって車輪6を駆動することができる、いわゆるハイブリッド駆動装置である。さらに、走行機器5は、車両の車輪6に加えられる制動力を調節する機器を含むことができる。そのような機器は、例えば、車輪6の回転を制動するブレーキ装置によって提供される。車両用制御装置1は、走行機器5を制御する車両挙動制御装置として機能する電子制御システム7を備える。電子制御システム7は、ひとつまたは複数の電子制御装置ECU8、9、10によって構築することができる。電子制御装置は、マイクロプロセッシングユニットMPUと呼ばれる処理装置を備える。処理装置は、コンピュータによって読み取り可能な記憶媒体を備えるマイクロコンピュータによって提供される。記憶媒体は、コンピュータによって読み取り可能なプログラムを非一時的に格納している。記憶媒体は、半導体メモリまたは磁気ディスクによって提供されうる。プログラムは、処理装置によって実行されることによって、処理装置をこの明細書に記載される装置として機能させ、この明細書に記載される制御方法を実行するように処理装置を機能させる。処理装置が提供する手段は、所定の機能を達成する機能的ブロック、またはモジュールとも呼ぶことができる。電子制御システム7は、第1のセンサ3の出力信号S1を入力する第1の電子制御装置HV-ECU8を備える。第1の電子制御装置8は、走行機器5を制御するためのHV制御装置8とも呼ばれる。HV制御装置8は、内燃機関5aと電動発電機5bとを総合的に制御するための演算処理を実行する。HV制御装置8は、第1の処理装置MPU111を備える。電子制御システム7は、第2のセンサ4の出力信号S2を入力する第2の電子制御装置EG-ECU9を備える。第2の制御装置9は、内燃機関5aを制御するためのEG制御装置9とも呼ばれる。HV制御装置8とEG制御装置9とは、通信可能に接続されている。EG制御装置9は、第2の処理装置MPU212を備える。EG制御装置9は、HV制御装置8からの指令に応答して、内燃機関5aを制御する。内燃機関5aの制御に関して、HV制御装置8を上位とし、EG制御装置9を下位とする主従型の制御システムが構築されている。ここでは、2つの処理装置11、12の一方だけに、2つのセンサ3、4の一方が接続され、2つの処理装置11、12の他方だけに、2つのセンサ3、4の他方が接続されている。すなわち、複数の処理装置11、12と、複数のセンサ3、4とは、一対一に対応付けられて信号伝達可能に電気的に接続されている。電子制御システム7は、第3の電子制御装置MG-ECU10を備える。第3の電子制御装置10は、電動発電機5bを制御するためのMG制御装置10とも呼ばれる。MG制御装置10は、HV制御装置8およびEG制御装置9と通信可能に接続されている。MG制御装置10は、第3の処理装置MPU313を備える。MG制御装置10は、HV制御装置8からの指令に応答して、電動発電機5bを制御する。電動発電機5bの制御に関して、HV制御装置8を上位とし、MG制御装置10を下位とする主従型の制御システムが構築されている。HV制御装置8とEG制御装置9との間、HV制御装置8とMG制御装置10との間、および、EG制御装置9とMG制御装置10との間の通信は、CANControllerAreaNetworkなどの通信回線および通信処理部によって提供することができる。第1の処理装置11と第2の処理装置12とは、相互に作動状態を監視することによりいずれか一方に異常があることを検出する相互監視システムを構築している。相互監視システムを構築するために、第1の処理装置11と第2の処理装置12とは、複数の機能ブロック21-28、31-38を備える。第1の処理装置11が備える機能ブロック21-28と第2の処理装置12が備える機能ブロック31-38とは同一、または対応する機能を提供する。以下、第1の処理装置11の機能ブロック21-28を主に参照して説明する。信号処理部SGPM21、31は、センサ3からの出力信号S1を処理する。信号処理部21は、出力信号S1を処理する。信号処理部31は、出力信号S2を処理する。信号処理部21および信号処理部31による処理は、処理結果を対比することにより出力信号S1、S2が予め定められた関係にあることを確認できるように設定されている。信号処理部21および信号処理部31による処理は、同じ処理とすることができる。信号処理部21、31における処理は、例えば、出力信号S1、S2を変換する処理である。より具体的には、アナログ値の出力信号S1、S2を、デジタルデータに変換する。以下の説明では、出力信号S1、S2の処理結果を、単に出力信号S1、S2と呼ぶものとする。通常制御部CNTM22、32は、予め定められた通常の制御処理を実行する。通常制御部22は、内燃機関5aと電動発電機5bとを総合的に制御するための制御処理を実行する。通常制御部22は、例えば、出力信号S1に基づいてEG制御装置9およびMG制御装置10へ指令するための制御量を演算する。通常制御部32は、HV制御装置8からの指令に応じて内燃機関5aを制御するための制御処理を実行する。すべての処理装置11、12、13は、出力信号に基づいて通常の制御処理を実行する通常制御部を備える。ハイブリッド車両は、走行用の動力源として内燃機関5aと電動発電機5bとを有する。よって、車両を走行させるために必要なトルクを内燃機関5aと電動発電機5bとに分配して発生させる必要がある。通常制御部22は、この分配機能を担う。EG制御装置9とMG制御装置10とは、HV制御装置8からの指令に応じて内燃機関5aと電動発電機5bとを制御する。通常制御部22は、直接的に入力される出力信号S1と、EG制御装置9を経由して間接的に入力される出力信号S2との両方を利用可能に構成することができる。これにより、第1の処理装置11においては、高い信頼性が得られる。また、通常制御部32は、直接的に入力される出力信号S2と、HV制御装置8を経由して間接的に入力される出力信号S1との両方を利用可能に構成することができる。これにより、第2の処理装置12においては、高い信頼性が得られる。信号通信部STRM23、33は、信号処理部21、31において処理された信号を相互に送受信して交換する。第1の処理装置11は、出力信号S1を第2の処理装置12に送信する。また、第1の処理装置11は、出力信号S2を第2の処理装置12から受信する。第2の処理装置12は、出力信号S2を第1の処理装置11に送信する。また、第2の処理装置12は、出力信号S1を第1の処理装置11から受信する。信号評価部SGVM24、34は、センサ3、4からの出力信号S1、S2を予め設定された評価ルールに基づいて評価する。信号評価部24、34は、出力信号S1、S2が正常であるか否かを判定する判定部とも呼ばれる。信号評価部24、34は、第1の出力信号S1または第2の出力信号S2が正常範囲内か否かを評価する。信号評価部24、34は、センサ3、4から直接的に入力される出力信号が正常範囲内か否かを判定する。信号評価部24は、出力信号S1が予め設定された正常範囲内にあるか否かを評価する。信号評価部24は、出力信号S1が正常範囲外にある場合、出力信号S1の異常、すなわちセンサ3に関連する異常を判定する。信号評価部34は、出力信号S2が予め設定された正常範囲内にあるか否かを評価する。信号評価部34は、出力信号S2が正常範囲外にある場合、出力信号S2の異常、すなわちセンサ3に関連する異常を判定する。信号照合部CMPM25、35は、センサ3、4からの出力信号S1、S2を照合する。信号照合部25、35は、出力信号S1、S2が予め定められた関係にあるか否かを判定する判定部とも呼ばれる。例えば、信号照合部25、35は、出力信号S1、S2が等価であるか否かを判定する。具体的には、信号照合部25、35は、出力信号S1、S2が、アクセルペダルの同じ操作量を示しているか否かを判定する。信号通信部23、33と信号照合部25、35とは、複数の処理装置11、12に設けられている。信号照合部25、35における判定は、それらの処理に到達するまでの出力信号S1、S2の伝達経路が正常であるか、異常であるかの判定を提供する。信号照合部25は、直接的に入力された出力信号S1と、第2の処理装置12による処理を経由して入手された出力信号S2とを照合する。信号照合部35は、直接的に入力された出力信号S2と、第1の処理装置11による処理を経由して入手された出力信号S1とを照合する。照合の結果は、異常の有無を示す。例えば、出力信号S1、S2が等価ではない場合、出力信号S1、S2のいずれか一方に関連する信号伝達経路に何らかの異常があると考えられる。ここでは、センサ3の異常、センサ4の異常、信号線の異常、HV制御装置8の異常、EG制御装置9の異常などが考えられる。結果通信部RTRM26、36は、信号照合部25、35における判定の結果を相互に送受信して交換する。第1の処理装置11は、判定の結果R1を第2の処理装置12に送信する。また、第1の処理装置11は、判定の結果R2を第2の処理装置12から受信する。第2の処理装置12は、判定の結果R2を第1の処理装置11に送信する。また、第2の処理装置12は、判定の結果R1を第1の処理装置11から受信する。結果通信部26、36は、複数の信号照合部25、35における判定の結果R1、R2を入手する。結果照合部RCPM27、37は、結果R1、R2を照合する。結果照合部27、37は、結果R1、R2が一致するか否かを判定する判定部とも呼ばれる。結果照合部27、37は、複数の結果R1、R2を照合し、結果が同一か否かを判定する。この構成によると、結果R1、R2に基づいて、異常の原因の探索が可能である。例えば、結果R1、R2が等価で同一である場合、結果R1、R2が不等価で同一である場合、または結果R1、R2が同一ではない場合に応じて異常の原因を探索できる。結果照合部27、37における判定は、センサ3、4および電子制御装置8、9が正常か否かの判定を提供する場合がある。例えば、信号照合部25または信号照合部35における結果が等価であるときに、結果照合部27、37において、第1の処理装置11の結果R1と第2の処理装置12の結果R2とが一致する場合、センサ3、4および電子制御装置8、9は正常であると判定できる。一方、信号照合部25または信号照合部35における結果が等価であるときに、結果照合部27、37において、第1の処理装置11の結果R1と第2の処理装置12の結果R2とが不一致である場合、センサ3、4を含まない電子制御装置8、9の異常であると判定できる。また、結果照合部27、37における判定は、センサ3、4および電子制御装置8、9の少なくとも一部の異常であるか、またはセンサ3、4を含まない電子制御装置8、9の異常であるかの判定を提供する場合がある。例えば、信号照合部25または信号照合部35における結果が不等価であるときに、結果照合部27、37において、第1の処理装置11の結果R1と第2の処理装置12の結果R2とが一致する場合、センサ3、4および電子制御装置8、9の少なくとも一部が異常であると判定できる。一方、信号照合部25または信号照合部35における結果が不等価であるときに、結果照合部27、37において、第1の処理装置11の結果R1と第2の処理装置12の結果R2とが不一致である場合、センサ3、4を含まない電子制御装置8、9の異常であると判定できる。フェールセーフ制御部FSCM28、38は、何らかの異常が判定された場合に、異常に応じたフェールセーフ制御を提供する。フェールセーフ制御として、制限的な車両の走行を許容するように内燃機関5aを制御するリンプホーム制御、またはシステムシャットダウンなどによる停止制御を提供することができる。すべての処理装置11、12,13は、信号照合部25、35によりセンサまたは処理装置の異常が判定されるとき、通常制御部に代わってフェールセーフ処理を実行するフェールセーフ制御部を備える。フェールセーフ制御部28は、直接的に入力される出力信号S1だけを利用するフェールセーフ制御を実行可能である。また、フェールセーフ制御部38は、直接的に入力される出力信号S2だけを利用するフェールセーフ制御を実行可能である。よって、センサ3または上位のHV制御装置8に異常があっても、内燃機関5aを望ましい状態に制御することが可能である。例えば、フェールセーフ制御部38は、HV制御装置8から指令される制御量を利用できないときでも、出力信号S2に基づいて、利用者の要求に沿った走行を可能とするように内燃機関5aを制御する。図2は、HV制御装置8およびEG制御装置9の両方において実行される制御処理150を示す。図中には、第1の処理装置11における処理が主として図示されている。図中、および以下の説明では、第2の処理装置12の場合の参照符号を内に示す。ステップ151では、センサ34から出力信号S1S2が入力される。ここでは、処理装置11、12の一方だけに、出力信号S1、S2の一方が入力され、処理装置11、12の他方だけに、出力信号S1、S2の他方が入力される。すなわち、複数の処理装置11、12と、複数の出力信号S1、S2とは、一対一に対応付けられている。ステップ152では、出力信号S1S2が正常範囲内にあるか否かを判定する。ここでは、出力信号S1S2がとりうる下限値LLと、出力信号S1S2がとりうる上限値ULとを使用する。ここでは、出力信号S1S2が下限値LLを上回り、かつ上限値ULを下回るときLL<S1S2<UL、出力信号S1S2が正常範囲内にあると判定される。出力信号S1S2が下限値LL以下であるときS1S2≦LL、または、出力信号S1S2が上限値UL以上であるときS1S2≧ULには、正常範囲外であると判定される。出力信号S1S2が正常範囲内にある場合、ステップ153へ進む。出力信号S1S2が正常範囲外にある場合、ステップ161へ進む。ステップ153では、第1の処理装置11と第2の処理装置12との間で、出力信号S1および出力信号S2を共有するための送受信処理を実行する。ステップ153では、ステップ151で入力した出力信号S1S2を送信する。さらに、ステップ153では、他の処理装置1211から送信された出力信号S2S1を受信する。ステップ154では、出力信号S1と出力信号S2とが等価であるか否かを評価する。出力信号S1と出力信号S2とが等価である場合、ステップ155へ進む。出力信号S1と出力信号S2とが不等価である場合、ステップ156へ進む。HV制御装置8のステップ154での判定により結果R1が得られる。EG制御装置9のステップ154での判定により結果R2が得られる。ステップ155では、第1の処理装置11と第2の処理装置12との間で、ステップ154における判定の結果を共有するための送受信処理を実行する。ステップ156でも、第1の処理装置11と第2の処理装置12との間で、ステップ154における判定の結果を共有するための送受信処理を実行する。ステップ155、156では、ステップ154での結果R1R2を送信する。さらに、ステップ155、156では、他の処理装置1211から送信された結果R2R1を受信する。ステップ157では、結果R1と結果R2とが同じか否かを判定する。ステップ157において結果R1と結果R2とが同じである場合、結果R1R2は等価を示すから、両方の結果R1、R2が等価である。この場合、ステップ159へ進む。この場合は、ステップ152においてセンサ3、4の異常が検出されず、しかも、ステップ154における判定の結果R1、R2が等価で一致した場合である。よって、センサ3、4および電子制御装置8、9は正常であると判定できる。ステップ157において結果R1と結果R2とが不一致である場合、結果R1R2は等価を示し、結果R2R1は不等価を示す。この場合、ステップ162へ進む。この場合は、ステップ152においてセンサ3、4の異常が検出されず、しかも、ステップ154における判定の結果R1、R2が不一致の場合である。よって、センサ3、4を含まない電子制御装置8、9の異常であると判定できる。ここでは、電子制御装置8、9のいずれが異常であるのかは特定することができない。ステップ158では、結果R1と結果R2とが同じか否かを判定する。ステップ158において結果R1と結果R2とが不一致である場合、結果R1R2は不等価を示し、結果R2R1は等価を示す。この場合、ステップ162へ進む。この場合は、ステップ152においてセンサ3、4の異常が検出されず、しかも、ステップ154における判定の結果R1、R2が不一致の場合である。よって、センサ3、4を含まない電子制御装置8、9の異常であると判定できる。ここでは、電子制御装置8、9のどれが異常であるのかは特定することができない。ステップ158において結果R1と結果R2とが同じである場合、結果R1R2は不等価を示すから、両方の結果R1、R2が不等価である。この場合、ステップ163へ進む。この場合は、ステップ152においてセンサ3、4の異常が検出されず、しかも、ステップ154における判定の結果R1、R2が不等価で一致した場合である。ただし、ステップ154において不等価と判定されているから、出力信号のオフセット、検出特性の異常のような、ステップ154における比較処理によって検出可能な異常がセンサ3またはセンサ4に発生している場合が想定される。よって、センサ3、4および電子制御装置8、9の少なくとも一部が異常であると判定できる。ここでは、センサ3、4および電子制御装置8、9のどれが異常であるのかは特定することができない。ステップ161-163では、フェールセーフ制御のための異常処理が実行される。ステップ161では、第1の異常処理が実行される。ステップ161はセンサ34の異常が検出された場合に実行される。このステップでは、異常の発生が車両の利用者に通知される。このステップでは、センサ34の異常が、他の処理装置1211に通知される。このステップでは、処理装置1112の機能を制限する。例えば、処理装置1112の機能は、車両が限定された走行をできる程度に制限される。より具体的には、このステップでは、車両がリンプホーム走行と呼ばれる制限された退避走行ができるように制御が実行される。このとき、HV制御装置8およびEG制御装置9の一方が正常な機能を維持している場合、その正常な制御装置は、自らに入力される出力信号に基づいて制限された制御を提供する。例えば、HV制御装置8が異常となり、EG制御装置9が正常である場合、EG制御装置9は、出力信号S2に基づいて制御を継続できる。このとき、異常となったHV制御装置8からの悪影響が抑制される。例えば、EG制御装置9が異常となり、HV制御装置8が正常である場合、HV制御装置8は、出力信号S1に基づいて制御を継続できる。このとき、少なくともMG制御装置10を正常に機能させることができる。ステップ162では、第2の異常処理が実行される。ステップ162は、HV制御装置8またはEG制御装置9に異常がある場合に実行される。このステップでは、異常の発生が車両の利用者に通知される。このステップでは、いずれか一方の制御装置が異常であるとの判定結果が、他の処理装置1211に通知される。このステップでは、処理装置1112の機能を制限する。ここで提供される機能制限は、ステップ161で提供される機能制限と同じとすることができる。さらに、機能制限の後、または機能制限に代えて、処理装置1112の機能を完全に停止させてもよい。例えば、処理装置1112をシャットダウンすることができる。ステップ163では、第3の異常処理が実行される。ステップ163は、センサ3、センサ4、HV制御装置8、およびEG制御装置9のいずれかひとつに異常がある場合に実行される。このステップでは、異常の発生が車両の利用者に通知される。このステップでは、センサおよび制御装置のどれかが異常であるとの判定結果が、他の処理装置1211に通知される。このステップでは、処理装置1112の機能を制限する。ここで提供される機能制限は、ステップ161で提供される機能制限と同じとすることができる。さらに、機能制限の後、または機能制限に代えて、処理装置1112の機能を完全に停止させてもよい。以上に述べたように、この実施形態によると、二重化されたセンサ2の出力信号S1、S2を、異なる処理装置11、12に入力し、それら出力信号S1、S2を通信により獲得して照合するから、出力信号の伝達経路に関連する異常を検出することができる。ここで検出される異常には、センサに属する異常と、制御装置に属する異常とが含まれる。しかも、複数の処理装置11、12の両方において出力信号を照合するから、いずれかの処理装置11、12において異常を検出することができる。また、二重化されたセンサ2の出力信号S1、S2を、異なる処理装置11、12に入力するから、一方の処理装置1112が異常となっても、他方の処理装置1211は、自らに入力される出力信号S2S1を利用することができる。この結果、他の処理装置1112からの悪影響を抑制して、制御を提供することができる。第2実施形態この実施形態では、上記実施形態に加えて、さらに、自己が正常であるか異常であるかを診断する自己診断機能を備える。図3において、第1の処理装置11および第2の処理装置12は、自己診断部DIGM229、239を備える。自己診断部229、239は、処理装置11、12の機能が正常であるか否かを診断する。自己診断部229、239を備えることにより、処理装置1112は、自らの機能が正常であるか否かを自ら判定することができる。この実施形態では、処理装置11、12は、結果通信部および結果照合部を備えない。この実施形態では、自己診断部229、239によって処理装置1112の異常を自ら検出できるため、信号照合部25、35によって不等価と判定されるときは、他の処理装置1211が異常であると判定できるからである。図4において、HV制御装置8およびEG制御装置9の両方において実行される制御処理250を説明する。ステップ270では、自己診断部229、239における自己診断結果が異常であるか否かを判定する。ステップ271において処理装置1112の異常が検出される場合、ステップ272へ進む。ステップ151-154、159、161の処理は先行する実施形態と同じである。ステップ263では、第5の異常処理が実行される。ステップ263は、センサ3、またはセンサ4の一方に異常がある場合に実行される。ステップ263に到達する場合、ステップ271において既に処理装置1112自身は正常であると判定されているから、出力信号S1、S2の不等価は、センサ3、4に関連する異常に起因すると考えることができる。このステップでは、異常の発生が車両の利用者に通知される。このステップでは、センサのどれかが異常であるとの判定結果が、他の処理装置1211に通知される。このステップでは、処理装置1112の機能を制限する。ここで提供される機能制限は、ステップ161で提供される機能制限と同じとすることができる。代替的に、HV制御装置8から指令される制御量と、EG制御装置9において独自に演算された制御量とから、車両として望ましいほうを選択し、選択された制御量に基づいて走行機器5を制御してもよい。例えば、車両の運動量が小さくなる制御量、または車両の運動量の変化が小さくなる制御量を選択することができる。さらに、機能制限の後、または機能制限に代えて、処理装置1112の機能を完全に停止させてもよい。ステップ272では、第5の異常処理が実行される。ステップ272は、処理装置1112自身に異常がある場合に実行される。このステップでは、異常の発生が車両の利用者に通知される。このステップでは、処理装置1112の異常が、他の処理装置1211に通知される。このステップでは、処理装置1112の機能を制限する。ここで提供される機能制限は、ステップ161で提供される機能制限と同じとすることができる。さらに、機能制限の後、または機能制限に代えて、処理装置1112の機能を完全に停止させてもよい。この実施形態では処理装置11、12に自己診断機能を設けたから、異常な処理装置を特定することができる。第3実施形態上記実施形態では、第1の処理装置11と第2の処理装置12とが相互に監視する構成を採用した。これに代えて、または加えて、第3の処理装置313において、出力信号S1、S2の評価および/または照合を実行してもよい。さらに、上記実施形態に加えて、第3の処理装置313において、3つ以上の処理装置における判定の結果に基づいて、異常の原因、または場所を特定してもよい。例えば、3つ以上の判定の結果に多数決を適用して異常な処理装置を特定してもよい。図5において、MG制御装置10は、第3の処理装置MPU3313を備える。処理装置313は、複数の機能ブロック42-48、40を備える。第3の処理装置313が備える機能ブロック42-48は、第1の処理装置11が備える機能ブロック22-28と同一、または対応する機能を提供する。信号通信部23、33、43と信号照合部25、35、45とは、3つの処理装置11、12、313に設けられている。通常制御部42は、HV制御装置8からの指令に応じて電動発電機5bを制御するための制御処理を実行する。MG制御装置10の通常制御部42は、HV制御装置8を経由して間接的に入力される出力信号S1とEG制御装置9を経由して間接的に入力される出力信号S2との両方を利用可能に構成されている。よって、MG制御装置10においては、高い信頼性が得られる。信号通信部43は、信号処理部21、31において処理された信号を受信する。信号評価部44は、出力信号S1および出力信号S2の両方が予め設定された正常範囲内にあるか否かを評価する。信号照合部45は、出力信号S1、S2が等価であるか否かを判定する。よって、この実施形態では、信号通信部43と信号照合部45とは、第1のセンサ3とも、第2のセンサ4とも接続されていない第3の処理装置313に設けられている。結果通信部46は、信号照合部25、35における判定の結果を受信する。結果通信部46は、複数の信号照合部25、35、45における判定の結果R1-R3を入手することとなる。結果照合部47は、結果R1、R2が一致するか否かを判定する。フェールセーフ制御部48は、異常に応じたフェールセーフ制御を提供する。多数決処理部40は、結果R1、R2および、信号照合部452において得られた判定の結果R3に基づいて、多数決処理を実行することにより、異常な処理装置を特定する。ここでは、多数派の結果を出力した2つの処理装置を正常であるとして扱い、少数派の結果を出力した1つの処理装置を異常であるとして扱う。この実施形態では、フェールセーフ制御部48は、多数決処理部40における判定結果に応じたフェールセーフ制御を実行する。図6において、MG制御装置10において実行される制御処理350を説明する。ステップ353では、HV制御装置8とEG制御装置9とを経由して、出力信号S1、S2が受信される。ステップ352では、出力信号S1、S2の両方が正常範囲内にあるか否かを判定する。出力信号S1、S2の両方が正常範囲内にある場合、ステップ354へ進む。出力信号S1または出力信号S2が正常範囲外にある場合、ステップ361へ進む。ステップ354では、出力信号S1と出力信号S2とが等価であるか否かを評価する。出力信号S1と出力信号S2とが等価である場合、ステップ355へ進む。出力信号S1と出力信号S2とが不等価である場合、ステップ356へ進む。ステップ354での判定により結果R3が得られる。ステップ355、366では、HV制御装置8から結果R1を受信し、EG制御装置9から結果R2を受信する。ステップ357では、3つの結果R1、R2、R3が同じか否かを判定する。ステップ357において結果R1、R2、R3が同じである場合、結果R1、R2、R3は等価である。この場合、ステップ359へ進む。ステップ357において結果R1、R2、R3が不一致である場合、ステップ380へ進む。ステップ358では、3つの結果R1、R2、R3が同じか否かを判定する。ステップ358において結果R1、R2、R3が不一致である場合、ステップ381へ進む。ステップ358において結果R1、R2、R3が同じである場合、結果R1、R2、R3は不等価である。この場合、ステップ363へ進む。ステップ381では、多数決処理が実行される。ステップ381では、少数派の結果を出力した処理装置を特定する。ステップ382では、少数派の結果に応じて分岐する。結果R1が少数派である場合、ステップ383へ進む。結果R2が少数派である場合、ステップ384へ進む。結果R3が少数派である場合、ステップ385へ進む。ステップ361、363、383-385では、フェールセーフ制御のための異常処理が実行される。ステップ361では、ステップ161と同様の第1の異常処理が実行される。ステップ363では、ステップ163と同様の第3の異常処理が実行される。ステップ383では、結果R1を出力する第1の処理装置11が異常である場合のフェールセーフ制御を実行する。このステップでは、異常の発生が車両の利用者に通知される。このステップでは、第1の処理装置11の異常が、他の処理装置12に通知される。EG制御装置9では、MG制御装置10からの通知に応答して、HV制御装置8の異常を前提としたフェールセーフ制御が実行される。このステップでは、MG制御装置10は、HV制御装置8の異常を前提として、自己の機能を制限する。ここで提供される機能制限は、ステップ161で提供される機能制限と同じとすることができる。さらに、機能制限の後、または機能制限に代えて、第3の処理装置313の機能を完全に停止させてもよい。さらに、異常になった第1の処理装置11の機能を完全に停止させてもよい。ステップ384では、結果R2を出力する第2の処理装置12が異常である場合のフェールセーフ制御を実行する。このステップでは、異常の発生が車両の利用者に通知される。このステップでは、第2の処理装置12の異常が、他の処理装置11に通知される。HV制御装置8では、MG制御装置10からの通知に応答して、EG制御装置9の異常を前提としたフェールセーフ制御が実行される。このステップでは、MG制御装置10は、EG制御装置9の異常を前提として、自己の機能を制限する。ここで提供される機能制限は、ステップ161で提供される機能制限と同じとすることができる。さらに、機能制限の後、または機能制限に代えて、第3の処理装置313の機能を完全に停止させてもよい。さらに、異常になった第2の処理装置12の機能を完全に停止させてもよい。ステップ385では、結果R3を出力する第3の処理装置313が異常である場合のフェールセーフ制御を実行する。このステップでは、異常の発生が車両の利用者に通知される。このステップでは、第3の処理装置313の異常が、他の処理装置11、12に通知される。HV制御装置8とEG制御装置9とでは、MG制御装置10からの通知に応答して、MG制御装置10の異常を前提としたフェールセーフ制御が実行される。このステップでは、MG制御装置10は、自己の機能を制限する。ここで提供される機能制限は、ステップ161で提供される機能制限と同じとすることができる。さらに、機能制限の後、または機能制限に代えて、第3の処理装置313の機能を完全に停止させてもよい。この実施形態では、3つ以上の処理装置によって出力信号S1、S2を照合し、それらの照合の結果を多数決によって評価することにより、異常となった制御装置を特定することができる。他の実施形態以上、本発明の好ましい実施形態について説明したが、本発明は上述した実施形態に何ら制限されることなく、本発明の主旨を逸脱しない範囲において種々変形して実施することが可能である。上記実施形態の構造は、あくまで例示であって、本発明の範囲はこれらの記載の範囲に限定されるものではない。本発明の範囲は、特許請求の範囲の記載によって示され、さらに特許請求の範囲の記載と均等の意味及び範囲内での全ての変更を含むものである。例えば、制御装置が提供する手段と機能は、ソフトウェアのみ、ハードウェアのみ、あるいはそれらの組合せによって提供することができる。例えば、制御装置をアナログ回路によって構成してもよい。また、上記実施形態では、信号通信部23、33と信号照合部25、35とは、第1の処理装置11および第2の処理装置12に設けた。これに代えて、信号通信部23、33と信号照合部25、35とは、第1の処理装置11および/または第2の処理装置12に設けることができる。また、上記実施形態では、第1の処理装置11および第2の処理装置12の両方に、信号評価部24、34、信号照合部25、35、および結果照合部27、37を設けた。これに代えて、第1の処理装置11または第2の処理装置12にだけ、信号評価部24、34、および信号照合部25、35を設けてもよい。また、第3の処理装置313にだけ、信号評価部24、34、および信号照合部25、35を設けてもよい。また、上記実施形態では、3つの制御装置8、9、10を設けて、それぞれに処理装置11、12、13、313を設けた。これに代えて、複数の処理装置をひとつの制御装置に設けてもよい。例えば、第1の制御装置に第1の処理装置11と第2の処理装置12とを設けてもよい。また、単一の制御装置内に3つの処理装置11、12、13を設けてもよい。上記実施形態では、通信回線によって複数の処理装置の間の通信が提供された。これに代えて、専用の信号線を設けてもよい。例えば、出力信号S1を第1の処理装置11から第2の処理装置12へ伝達する信号線などを設けることができる。上記実施形態では、センサ2は、アクセルペダルの操作量を検出した。これに代えて、センサ2は、車両の利用者によって操作されるブレーキペダルの操作量を検出してもよい。また、センサ2は、車両の利用者によって操作されるシフトレバーの操作位置を検出してもよい。また、上記第3実施形態においても、上記第2実施形態に例示された自己診断部をすべての処理装置に設けてもよい。"