CN101873955A - 用于安全关键系统的电气致动的装置 - Google Patents

Abstract

一种用于安全关键系统的电气致动的装置，该装置具有至少两个端子(A1、A4；A2、A3)、至少一个开关(S1、S2；S3、S4)、操作员控制元件(B)，通过所述操作员控制元件，可以选择所述系统的至少两种操作状态、确定所述至少一个开关(S1、S2；S3、S4)的开关位置，其中设置了至少一个电流方向元件(D1、D2；D3、D4)，使得针对所述至少两种操作状态中的至少一种，在所述至少两个端子(A1、A4；A2、A3)之间出现单向电流。

Description

用于安全关键系统的电气致动的装置

技术领域

本发明涉及一种用于安全关键系统(safety-critical system)的电气致动的装置，该装置具有至少两个端子、至少一个开关、操作员控制元件，可以通过该操作员控制元件来选择该系统的至少两种操作状态、确定所述至少一个开关的开关位置，其中设置了至少一个电流方向元件，使得对于所述至少两种操作状态中的至少一种而言，在所述至少两个端子之间出现单向电流。

背景技术

在背景技术领域中，从EP 1447830A1中了解到一种装置。为了对三种不同的开关状态进行安全有线编码，该装置具有两层可以以耦接的方式致动的开关，利用该两层开关，可以将六条连接导线切换到三种不同的连接模式。由于与各种作用和/或状态相关联的连接模式在连接导线的所有的连接对方面都不同，因此可以根据正确的连接对识别各连接模式。

还从DE 19962556A1中了解到这样的装置。在该装置中，同样利用六条开关线实现了电连接，利用这六条开关线，可以扫描到三种不同的开关状态。但是，与从EP 1447830A1中了解到的装置相比，该装置还额外地包括带有电流方向元件的构造，使得针对每种开关状态，都在两个端子之间出现单向电流。

一个缺点在于，已知装置的制造和安装需要很高的技术支出并因此费用很大。造成这个缺点的原因首先是：第一，为了切换三种不同的连接模式，必须连接并致动总共六个开关；其次，为了与电子控制单元连接，必须设置总共六个电气端子，并且必须安装总共六条电线；第三，由于总共六个电气端子，对用于电子控制单元的连接模式进行可靠的扫描需要用于电路和软件的相对应的高支出。

发明内容

本发明的基本目的因此是对文章开始描述的用于安全关键系统的电气致动的装置进行继续开发，使得该装置在先前提及的缺点方面得到改进并且展现出高的冗余和容错。

为此，根据本发明的第一个方面，针对文章开始提及的用于安全关机系统的电气致动的装置，提出了在一种操作状态下，在至少两个端子之间出现从第一端子到第二端子的方向的单向电流，并且在另一种操作状态下，在该至少两个端子之间出现从第二端子到第一端子的相反方向的单向电流。

根据本发明的第二个方面，针对文章开始提及的装置，提出了在一种操作状态下，在至少两个端子之间出现从第一端子到第二端子的方向或相反方向的单向电流，并且在另一种操作状态下，在所述至少两个端子之间出现双向电流或者没有电流。

本发明的显著之处在于以下优点，即，可以根据端子处出现的不同电势安全地并可靠地确定和/或识别出利用操作员控制元件选取的操作状态。利用用于至少一种操作状态的至少一个电流方向元件，实现了至少两个端子之间的单向电流，因此针对各种操作状态，在至少两个端子处出现不同的电势。

在有利的方式中，至少一个开关具有至少两个开关位置，其中在各个开关位置中，在该至少两个端子之间或出现单向电流或出现双向电流。由此实现的效果是：可以在至少两个端子处出现专门限定的电势，该电势是为了能够被准确地确定和/或识别而因此被预先确定的。

此外，在有利的方式中，至少两个开关可以串联连接。一种可能的场景是：假定两个各自具有两个开关位置的开关串联连接并且设置了两个电流方向元件，则在两个端子之间可以出现双向电流和两个相反方向的单向电流，在这个基础上，准确地区分了三种操作状态。

为了进一步提高系统的安全性，如果至少一个开关至少是单冗余设计的，则继续采用先前的可能场景，导致根据本发明的、具有冗余设计的装置：包括四个端子、四个开关和四个电流方向元件，并且能够区分三种操作状态。这使得根据本发明的装置所提供的优于在EP 1447830A1和DE 19962556A1中了解到的装置的主要优点非常清楚。

本发明还涉及一种安全关键系统，尤其涉及一种用于机动车辆的电子机械式停车制动系统(针对该停车制动系统的电气致动，提供了根据本发明的装置)。在这样的情况下，根据本发明的装置的至少两个端子与根据操作员控制元件处选取的操作状态对该系统执行开环和/或闭环控制的电子控制单元相连接。

该系统包括评估电路，该评估电路在至少两个端子处设置预定电势，以对随后出现在该至少两个端子处的电势进行评估。

在优选的方式中，以预定周期对该至少两个端子处的预定电势进行设置。

对在该至少两个端子处出现的电势进行评估，以确定是否与在操作员控制元件处选取的操作状态一致，来可选择地使得错误检测、错误分析和错误控制过程得以执行。

附图说明

现在将参照附图对本发明进行详细描述。在附图中：

图1a到图1d示出了根据本发明的装置的第一实施方式，

图2示概略地出了具有根据图1a到图1d的本发明的装置的安全关键系统，

图3概略地示出了用于根据图2的安全关键系统的评估电路的构造，

图4a到图4c示出了用于根据图2的安全关键系统的操作状态的评估表，

图5a到图5d示出了根据本发明的装置的第二实施方式，

图6a到图6d示出了根据本发明的装置的第三实施方式，

图7示出了在根据本发明的装置中实现激活(“唤醒”)功能的可能方式。

具体实施方式

针对依据本发明的图1a的用于安全关键系统的电气致动的装置V的第一实施方式，首先考虑两个端子A1和A4。为了对端子A1和A4进行电连接，设置了两个开关S1和S2，开关S1和S2串联连接并且各自具有两个开关位置。为了确定两个开关S1和S2的开关位置，将两个开关S1和S2可操作地耦接到操作员控制元件B，利用操作员控制元件B，可以为该系统选择以下三种操作状态：

(i.)第一操作状态：使两个开关S1和S2处于它们的上开关位置(如图1a所示)，使得存在利用电流方向元件D1(例如，二极管)的电连接，该电连接只允许从端子A1到端子A4的方向的单向电流并且阻断了从端子A4到端子A1的方向的电流。

(ii.)第二操作状态：使开关S2处于它的下开关位置，使得不管开关S1的开关位置位于何处，都存在使用电流方向元件D2(例如，二极管)的电连接，该电连接只允许从端子A4到端子A1的方向的单向电流并且阻断了从端子A1到端子A4的方向的电流。

(iii.)第三操作状态：使开关S2处于它的上开关位置并且使开关S1处于它的下开关位置，使得在端子A1与端子A4之间存在直接电连接，该电连接允许双向电流，即，从端子A4到端子A1的方向和从端子A1到端子A4的方向的电流。

根据图1a，根据本发明的装置V还包括两个端子A2和A3，针对端子A2和A3的电连接，设置了两个开关S3和S4以及两个电流方向元件D3和D4(例如，二极管)。在端子A2和A3之间连接的部件S3、S4和D3、D4不仅与在端子A1和A4之间连接的部件S1、S2和D1、D2相同，而且按照相同的方式配置，如图1a所示。开关S3和S4同样可操作地耦接到操作员控制元件B，使得开关S3与开关S1并联连接，而开关S4与开关S2并联连接。

从整体上看，根据图1a的、根据本发明的装置V的显著之处在于单冗余构造，利用该单冗余构造，只利用四个端子A1、A2、A3和A4就可以选择安全关键系统的三种不同操作状态。

图1b到图1d示出了在各种情况下针对根据图1a的本发明的装置而可以选取的三种操作状态的等价电路图，即：

(i.)图1b示出了被描述为“中性(Neutral)”的第一操作状态，该操作状态利用电流方向元件D1和/或D3，只允许从端子A1到端子A4的方向和/或从端子A2到端子A3的方向的单向电流。

(ii.)图1c示出了被描述为“施加(Apply)”的第二操作状态，该操作状态利用电流方向元件D2和/或D4，只允许从端子A4到端子A1的方向和/或从端子A3到端子A2的方向的单向电流。

(iii.)图1d示出了为描述为“解除(Release)”的第三操作状态，该操作状态允许端子A1与A4和/或端子A2与A3之间的双向电流。

作为可以使用根据本发明的装置V的安全关键系统，将说明一种机动车辆的电子机械式停车或制动系统(EPB：electromechanical parkingbrake system)。由于驾驶员利用电子开关装置而不利用机械手刹杆来执行EPB的致动，因此最根本的并不仅仅是该开关装置自身，而首先是要对从该开关装置的端子伸出的所有电缆进行持续的错误(例如，断路和短路)监测。

针对EPB，瞬时接触翻转开关(momentary-contact tumbler switch)例如可以用作操作员控制元件B，该操作员控制元件例如在弹簧结构的作用下处于它在图1a中示出的正常位置，该正常位置与第一操作状态“中性”相对应。如果将操作员控制元件B从其正常位置致动到其左侧，则该位置对应于第二操作状态“施加”，该状态例如意味着激活EPB。如果将操作员控制元件B从其正常位置致动到其右侧位置，则该位置对应于第三操作状态“解除”，该状态例如意味着解除EPB。

在图2中，概略地示出了具有根据图1a到图1d的、根据本发明的装置V的安全关键系统。在该情况下，通过电缆(未详细示出)将四个端子A1、A2、A3和A4电连接到电子控制单元(ECU)。ECU利用评估电路AS来评估从根据本发明的装置V提供到端子A1、A2、A3和A4的信号，以识别在操作员控制元件B处选择的操作状态，并且根据该操作状态对该系统执行开环和/或闭环控制。该系统除了包括评估电路AS以外，还包括输入电路ES1、ES2、ES3和ES4，如图2中概略地示出的，输入电路ES1、ES2、ES3和ES4优选地是ECU的构成部分。与输入电路ES1、ES2、ES3和ES4相比，评估电路AS位于更高的级，并且分别向这些输入电路中的各输入电路提供控制信号X1、X2、X3和X4。

输入电路ES1、ES2、ES3和ES4与各端子A1、A2、A3和A4相关联。输入电路ES1、ES2、ES3和ES4各自都具有相同的构造，在图3中以与端子A...相关联的输入电路ES...的方式概略地示出了该构造。

对输入电路ES...进行调整以针对与其相关联的端子A...设置“低”或“高”的预定电势。这是通过由评估电路AS提供给输入电路ES...并对电子开关元件T(例如，晶体管或继电器)进行控制的控制信号X...实现的。如果控制信号X...的状态是“通”，则电子开关元件T处于它的闭合状态，端子A...在该状态下通过低值电阻器元件R1连接到“高”(即，正电势，例如ECU的电源电压)；相反，如果控制信号X...的状态是“断开”，则电子开关元件T处于它的阻断状态，端子A...在该状态下通过高值电阻器元件R2连接到“低”(即，负电势或零，例如，接地)。

周期性地对端子A1、A2、A3和A4中的各端子处的预定电势进行设置。为此，评估电路AS每个周期发出预定模式的控制信号X1、X3、X3和X4。然后，仍然在同一周期中，评估电路AS对在端子A1、A2、A3和A4处输出的信号进行评估并且在继续进行下一个周期的过程前保存这些信号。一旦执行完毕确定操作状态所要运行的所有周期，则对这些信号进行联合评估以识别在操作员控制元件B处选择的操作状态。在每个周期中，如果总是只在端子A1、A2、A3和A4中的一个端子处设置电势“高”而相应地使其它端子保持在电势“低”，则在高安全性方面与高评估速度方面之间实现了有益的折衷。在该情况下，即，在根据本发明的装置V具有四个端子A1、A2、A3和A4的情况下，从根据图4a到图4c的评估表中可以看出，为了准确地识别操作状态，将要执行四个周期并随后进行评估。具体地说：

(i.)图4a示出了用于识别操作状态“中性”的评估表。执行了四个周期，其中每个周期都总是只输出一个具有状态“通”的控制信号(这里，按照X1、X2、X3、X4的顺序)。因此，每个周期在相关联的端子处都出现了电势“高”(这里，按照A1、A2、A3、A4的顺序)。此外，在各端子中，电势“高”还出现在第一周期中的端子A4处和第二周期中的端子A3处。这是由于(根据图1b)，在第一周期中，电流方向元件D1阻断了从端子A4到端子A1的电流，并且在第二周期中，电流方向元件D3阻断了从端子A3到端子A2的电流。

(ii.)图4b示出了用于识别操作状态“施加”的评估表。执行了四个周期，其中每个周期都总是只输出一个具有状态“通”的控制信号(这里，按照X1、X2、X3、X4的顺序)。因此，每个周期在相关联的端子处都出现了电势“高”(这里，按照A1、A2、A3、A4的顺序)。此外，在各端子中，电势“高”还出现在第三周期中的端子A2处和第四周期中的端子A1处。这是由于(根据图1c)，在第三周期中，电流方向元件D4阻断了从端子A2到端子A3的电流，并且在第四周期中，电流方向元件D2阻断了从端子A1到端子A4的电流。

(iii.)图4c示出了用于识别操作状态“解除”的评估表。执行了四个周期，其中每个周期都总是只输出一个具有状态“通”的控制信号(这里，按照X1、X2、X3、X4的顺序)。因此，每个周期在相关联的端子处都出现了电势“高”(这里，按照A1、A2、A3、A4的顺序)。此外，在各端子中，电势“高”还出现在第一周期中的端子A4处、第二周期中的端子A3处、第三周期中的端子A2处和第四周期中的端子A1处。这是由于(根据图1d)没有电流方向元件作用在端子A1与A4之间或作用在端子A2与A3之间。

如果针对评估表中的端子A1、A2、A3、A4而标示的电势“低/高”出现变化，则这些变化可以充当在ECU内执行准确的错误检测、错误分析和错误控制过程的基础。通过根据图4a的用于识别操作状态“中性”的评估表来考虑这种情况的若干个示例。

如果在第一周期中，在各种情况下出现在端子A1和A4处的电势是“低”而不是“高”，则标识了错误“端子A1对地短路”；如果在第四周期中，在各种情况下出现在端子A4处的电势是“低”而不是“高”，则标识了错误“端子A4对地短路”；如果在第二周期中，在各端子中，出现在端子A1和A4处的电势是“高”而不是“低”，则标识了错误“端子A1对电源电压短路”；如果在第四周期中，在各端子中，出现在端子A4处的电势是“高”而不是“低”，则标识了错误“端子A4对电源电压短路”。

ECU可以依靠错误控制过程的结果而采用适当的措施，例如，输出可以听见的和/或可以看到的和/或触觉的警告(在EPB的情况下向驾驶员输出)，将该安全关键系统转变到已定义的安全操作状态、出于诊断和/或研究的目的而存储识别出的错误。理想地是，为了这个目的，不仅ECU中被设计成硬件的单独的电路包括微型计算机，而且目前常规形式的ECU也包括微型计算机，所述微型计算机上设置有可以以软件方式实现的功能。还可以使得ECU还与其它系统的电子控制单元进行通信，例如，EPB与机动车辆的以电子方式控制的行车制动系统通信。

图5a示出了根据本发明的装置V的第二实施方式，其中首先考虑三个端子A1、A3和A4。为了电连接端子A1和A4和/或A3，设置了两个开关S1和S2，每个开关都具有两个开关位置。为了确定这两个开关S1和S2的开关位置，将这两个开关S1和S2可操作地耦接到操作员控制元件B，可以利用操作员控制元件B为该系统选择以下三种操作状态：

(i.)第一操作状态：使两个开关S1和S2处于它们的上开关位置(如图5a所示)，使得存在使用电流方向元件D1的电连接，该电连接只允许从端子A1到端子A4的方向的单向电流并且阻断了从端子A4到端子A1的方向的电流。

(ii.)第二操作状态：使开关S2处于它的下开关位置，使得不管开关S1所处的开关位置如何，都存在使用电流方向元件D2的电连接，该电连接只允许从端子A4到端子A1的方向的单向电流并且阻挡了从端子A1到端子A4的方向的电流。

(iii.)第三操作状态：使开关S2处于它的上开关位置并且使开关S1处于它的下开关位置，使得存在端子A1与端子A3之间的直接电连接，该电连接允许双向电流，即，从端子A3到端子A1的方向和从端子A1到端子A3的方向的电流。

根据图5a的、根据本发明的装置V还包括端子A2，为了端子A2与端子A3和/或A4的电连接，设置了两个开关S3和S4以及两个电流方向元件D3和D4，如图5a所示。开关S3和S4可操作地耦接到操作员控制元件B，使得开关S3与开关S1并联连接，并且开关S4与开关S2并联连接。因此，根据图5a的、根据本发明的装置V的显著之处还在于单冗余构造，通过该构造，可以只利用四个端子A1、A2、A3和A4就可以选择安全关键系统的三种不同的操作状态。

图5b到图5d示出了在各种情况下可以针对根据图5a的、根据本发明的装置选取的三种操作状态的等价电路图，即：

(i.)图5b示出了被描述为“中性”的第一操作状态，该操作状态利用电流方向元件D1和/或D3，只允许从端子A1到端子A4的方向和/或从端子A2到端子A3的方向的单向电流。

(ii.)图5c示出了被描述为“施加”的第二操作状态，该操作状态利用电流方向元件D2和/或D4，只允许从端子A4到端子A1的方向和/或从端子A3到端子A2的方向的单向电流。

(iii.)图5d示出了被描述为“解除”的第三操作状态，该操作状态允许端子A1与A3和/或端子A2与A4之间的双向电流。

因此，与根据图1a到1d的第一实施方式的差异在于被描述为“解除”的第三操作状态，而非其它两种操作状态。对于第三操作状态来说，端子A1、A2、A3和A4以这样的方式交叉，即，A1与A3相连接，而A2与A4相连接。如此产生的互连的操作状态能够改善操作状态“解除”的错误控制过程。

图6a示出了根据本发明的装置V的第三实施方式，其中首先考虑两个端子A1和A4。为了电连接端子A1和A4，设置了两个开关S1和S2，每个开关都具有两个开关位置。为了确定这两个开关S1和S2的开关位置，将这两个开关S1和S2可操作地耦接到操作员控制元件B，可以利用操作员控制元件B为该系统选择以下三种操作状态：

(i.)第一操作状态：使两个开关S1和S2处于它们的上开关位置(如图6a所示)，使得存在使用电流方向元件D1的电连接，该电连接只允许从端子A4到端子A1的方向的单向电流并且阻断了从端子A1到端子A4的方向的电流。

(ii.)第二操作状态：使开关S2处于它的下开关位置，使得不管开关S1的开关位置在何处，都存在使用电流方向元件D2的电连接，该电连接只允许从端子A1到端子A4的方向的单向电流并且阻挡了从端子A4到端子A1的方向的电流。

(iii.)第三操作状态：使开关S2处于它的上开关位置并且使开关S1处于它的下开关位置，使得存在端子A1与端子A4之间的直接电连接，该电连接允许双向电流，即，从端子A4到端子A1的方向和从端子A1到端子A4的方向的电流。

根据图6a的、根据本发明的装置V还包括两个端子A2和A3，为了端子A2与端子A3的电连接，设置了两个开关S3和S4以及两个电流方向元件D3和D4。在端子A2和A3之间连接起来的部件S3、S4和D3、D4不仅与在端子A1和A4之间连接起来的部件S1、S2和D1、D2相同，而且按照相同的方式配置，如图6a所示。开关S3和S4同样可操作地耦接到操作员控制元件，使得开关S3与开关S1并联连接，并且开关S4与开关S2并联连接。

从整体上看，根据图6a，根据本发明的装置V的显著之处在于单冗余构造，通过该单冗余构造，只利用四个端子A1、A2、A3和A4就可以选择安全关键系统的三种不同操作状态。

图6b到图6d示出了在各种情况下可以针对根据图6a的、根据本发明的装置选取的三种操作状态的等价电路图，即：

(i.)图6b示出了被描述为“中性”的第一操作状态，该操作状态利用电流方向元件D1和/或D3，只允许从端子A4到端子A1的方向和/或从端子A2到端子A3的方向的单向电流。

(ii.)图6c示出了被描述为“施加”的第二操作状态，该操作状态利用电流方向元件D2和/或D4，只允许从端子A1到端子A4的方向和/或从端子A3到端子A2的方向的单向电流。

(iii.)图6d示出了被描述为“解除”的第三操作状态，该操作状态允许端子A1与A4和/或端子A2与A3之间的双向电流。

因此，与根据图1a到1d的第一实施方式的差异在于，电流方向元件D1和D2彼此反并联布置，由此实现了操作状态的分离。

图7示出了在根据本发明的装置中实现激活(“唤醒”)功能的可能方式。“唤醒”功能用于在操作员控制元件B的致动下再次激活处于停用或待机状态下的ECU。

为此，考虑了根据图1a到图1d的第一实施方式，其中利用端子A1和A4实现开关操作的激活(“唤醒”)。为此，使用两个电阻器元件Ra和Rb并且还使用电子开关元件T*(半导体开关，例如晶体管或继电器)来扩展输入电路ES4。利用由ECU提供的“使能唤醒”控制信号来激活电子开关元件T*。如果电子开关元件T*处于其断开状态，则由于Rb是高值电阻器元件，所以输入电路ES4按照先前描述的方式发挥作用。但是，如果假定电子开关元件T*处于闭合状态，则由同样也是高值电阻器元件的Ra(具有Rb的量级)将端子A4连接到电势“高”。因此，根据操作状态“中性”，电势“高”出现在端子A4处，而电势“低”出现在端子A1处(比较图1b和图4a)。如果随后选择了操作状态“施加”(比较图1c和图4b)或操作状态“解除”(比较图1d和图4c)，则电势在端子A1处从“低”改变成“高”。ECU拾取了电势的这个变化并且将其作为“唤醒”信号而加以评估，以重新激活ECU。一旦发生了对ECU的重新激活，则撤销控制信号“使能唤醒”和/或将电子开关元件T*改变到它的断开状态，以使得可以再一次使用根据本发明的装置的适当功能。

还可以以冗余的方式来设计激活(“唤醒”)功能，该功能也并行地通过端子A2和A3来实现，即，必须按照与输入电路ES4相似的方式来扩展输入电路ES3。

电阻器元件的额定值的有利值可以是：Ra～10k欧姆、Rb～10k欧姆、R1～0.5k欧姆及R2～1k欧姆。

最后，还应当注意的是，本领域技术人员可以自由地在权利要求的范围内对这些实施方式进行修改，尤其是开关的数量、开关的开关位置的数量以及开关的冗余，系统的可选操作状态的数量因此而产生。

Claims (9)

1.一种用于安全关键系统的电气致动的装置，该装置具有至少两个端子(A1、A4；A2、A3)、至少一个开关(S1、S2；S3、S4)、操作员控制元件(B)，通过所述操作员控制元件，能够选择所述系统的至少两种操作状态、确定所述至少一个开关(S1、S2；S3、S4)的开关位置，其中设置了至少一个电流方向元件(D1、D2；D3、D4)，使得针对所述至少两种操作状态中的至少一种，在所述至少两个端子(A1、A4；A2、A3)之间出现单向电流，该装置的特征在于，所述至少两个端子(A1、A4；A2、A3)之间的所述单向电流在一种操作状态下出现在从第一端子到第二端子(A1、A4；A2、A3)的方向上，并且在另一种操作状态下出现在从所述第二端子到所述第一端子(A4、A1；A3、A2)的反方向上。

2.一种用于安全关键系统的电气致动的装置，该装置具有至少两个端子(A1、A4；A2、A3)、至少一个开关(S1、S2；S3、S4)、操作员控制元件(B)，通过所述操作员控制元件，能够选择所述系统的至少两种操作状态、确定所述至少一个开关(S1、S2；S3、S4)的开关位置，其中设置了至少一个电流方向元件(D1、D2；D3、D4)，使得针对所述至少两种操作状态中的至少一种，在所述至少两个端子(A1、A4；A2、A3)之间出现单向电流，该装置的特征在于，所述至少两个端子(A1、A4；A2、A3)之间的所述单向电流在一种操作状态下出现在从第一端子到第二端子(A1、A4；A2、A3)的方向上或相反方向上，并且在另一种操作状态下在所述至少两个端子(A1、A4；A2、A3)之间出现双向电流或不出现电流。

3.根据权利要求1或2所述的装置，该装置的特征在于，所述至少一个开关(S1、S2；S3、S4)具有至少两个开关位置，其中在各个开关位置，在所述至少两个端子(A1、A4；A2、A3)之间或者出现单向电流或者出现双向电流。

4.根据权利要求1到3中任一项所述的装置，该装置的特征在于，所述至少两个开关(S1、S2；S3、S4)串联连接。

5.根据权利要求1到4中任一项所述的装置，该装置的特征在于，所述至少一个开关(S1、S2；S3、S4)被设计为具有至少单冗余。

6.一种安全关键系统，该安全关键系统尤其是机动车辆的电子机械式停车制动系统，该系统的特征在于，针对该系统的电气致动，提供了根据权利要求1到15中任一项所述的装置，所述装置的所述至少两个端子(A1、A4；A2、A3)电连接到根据在所述操作员控制元件(B)处选择的所述操作状态来执行所述系统的开环和/或闭环控制的电子控制单元(ECU)。

7.根据权利要求6所述的系统，该系统的特征在于，该系统包括评估电路(AS)，该评估电路(AS)在所述至少两个端子(A1、A4；A2、A3)处设置预定电势，以对随后在所述至少两个端子(A1、A4；A2、A3)处出现的电势进行评估。

8.根据权利要求7所述的系统，该系统的特征在于，以预定的周期在所述至少两个端子(A1、A4；A2、A3)处设置预定电势。

9.根据权利要求7或8所述的系统，该系统的特征在于，对在所述至少两个端子(A1、A4；A2、A3)处出现的电势进行评估，以确定是否与在所述操作员控制元件(B)处选择的所述操作状态一致。

Images