JP2015510468A - 殊に車両内の、高い可用性を有する、少なくとも２つのデータ処理ユニットの作動方法および機械の作動装置 - Google Patents

Abstract

殊に車両内の、高い可用性を有する、少なくとも２つのデータ処理ユニット（ＶＣＣ１、ＶＣＣ２）の作動方法を説明する。第１のデータ処理ユニット（ＶＣＣ１）と第２のデータ処理ユニット（ＶＣＣ２）とはそれぞれ少なくとも６０％、または少なくとも９０％、同じ機能を提供することができる。第２のデータ処理ユニット（ＶＣＣ２）は、実施されるべきプロセスに対して自動的に少なくとも１つのエントリー（１２０、１２２）を記憶ユニットから除去する、または、自動的に待機状態に移行する。

Description

本発明は、殊に車両内の、高い可用性を有する、少なくとも２つのデータ処理ユニットの作動方法に関する。第１のデータ処理ユニットと第２のデータ処理ユニットは、それぞれ少なくとも１つの同じ機能を提供する、または少なくとも１０％、同じ機能を提供する。典型的に、データ処理ユニットは、例えば第１のデータ処理ユニットの機械語に関して、それぞれ少なくとも６０％または少なくとも９０％まで同じ機能を提供する。２つのユニットは、例えば、同じステップを行う。エラー時には、例えば、機械（例えば車）の自動制御がオフされて、手動制御へ移行する、または、例えば２つのデータ処理ユニットのうちの１つだけが動作する縮退プロセスへの切り替えが行われる。

本発明の課題は、冗長性、すなわち可用性が高いにもかかわらず、エネルギー効率良く動作する方法を提供することである。さらに、相応する装置が提供されるべきである。

方法に関する課題は、請求項１に記載されている方法ステップを備えた方法によって解決される。発展形態は、従属請求項に記載されている。

この方法では、第２のデータ処理ユニットは自動的に、実行されるべきプロセスに対する少なくとも１つのエントリー（entry）を記憶ユニットから除去することができる、または、自動的に待機状態に移行することができる。

これによって、第２のデータ処理ユニット（略してユニット）内での冗長性のオフに関する判断がなされる。第２のユニットは、この場合には、冗長性に関して第１のユニットよりも低いランクにある。冗長性のオフに関するこの判断が誤っている場合には、これは、冗長性ないしはエラートレランスの全体コンセプトによって受け止められる。このエラートレランスでは、２つのユニットのうちの１つにおいてエラーが生じることが可能である。

すなわち殊に、冗長性のオフは、外部から（例えば第１のユニットによって）促されるのではない。このような場合には、オフに関する判断が誤っているならば、この誤った判断が、第１のユニットを超えて、第２のデータ処理ユニットにも伝播してしまうだろう。これは、エラートレランスの基本コンセプトに反する。

第１のデータ処理ユニットにおいても、自動的に、実行されるべきプロセスに対する少なくとも１つのエントリーが、第１のデータ処理ユニットによって、記憶ユニットから除去され得る、または、第１のデータ処理ユニットは自動的に待機状態に移行し得る。ここでこの場合には、第１のデータ処理ユニットは、冗長性に関して低いランクにある。これは例えば２つのデータ処理ユニットのマスター／スレーブ関係におけるスレーブユニットである。

２つのユニット内に、同じ機械語が記憶可能である。これによって、１００％の冗長性が得られる。

従ってこの方法では、２つのユニットがオフされるのではなく、２つのユニットのうちの１つだけがオフされる。このオフは有利には、第２のユニットのエラーに基づいて行われるのでもない。なぜなら第２のユニットは、まだ完全に機能可能だからである。これは、例えば、消費電力の低減のためである。低い電力消費は、電気自動車または電気モータと内燃機関を有するハイブリッド車両にとって、駆動ユニットにおいて特に重要であり、これによって電子駆動部の走行距離が長くなる。また、駆動ユニット内に内燃機関しか有していない車両の場合にも、消費電力の低減によって、燃料消費が低減される。このオフは例えば、ユニットの電源のオフによって、またはユニットを自身の電源から切り離すことによって行われる。択一的に、ユニットのプロセッサをオフすることもできる。

同様に、実施されるべきプロセスに対するエントリーの除去が行われる。プロセッサがエラーなく動作可能であるにもかかわらず、エントリーが除去される。エントリーのこの除去によって、プロセスは第１のユニットのみによって実施される。第２のユニットはこのプロセスを実行しなくなり、これによって必要な計算パワーが低減される。このようにして、多数のプロセッサが動かされない、例えば１０個以上またはむしろ１００個以上のプロセッサが動かされない場合には、必要とされる計算パワーを著しく低減させることができる。これは、第２のユニットのプロセッサの必要な消費電力に影響を及ぼす。十分な数のプロセスに対するエントリーを除去した後では、むしろ、第２のユニットのプロセス監視によって、第２のユニットのプロセッサないしは第２のユニット全体がオフされる、または、待機状態にされる。択一的に、複数の待機状態が存在し得る。これらは、それぞれ、先行の待機状態と比べて低減されたエネルギー消費を伴う。

１つのプロセッサのエネルギー消費は、１５〜５０ワットの範囲にある。例えば、１つのプロセッサが全体で一時間オフされると、５０ｗｈの電力が節約される。これによって、既存のエネルギーが効率的に使用される。

エントリーの除去は、例えば、メモリセルのデータ値の変更、例えば、該当するプロセスが実施されるべきか否かを示すデータの変更によって行われる。

エントリーのこの除去または待機状態への移行を、その動作のためにデータ処理ユニットが使用される機械、殊に輸送機械の動作状態に依存して行うことができる。

輸送機械は車両であり得る。これは例えば電気車、ハイブリッド車両または、内燃機関によってのみ駆動される車両であり得る。あらゆる大きさの車両が該当する。すなわち、運送用車両、殊に、トラック、バス、乗用車、オートバイ、自転車等である。しかしこの輸送機械が、飛行機、ボートまたは舟であってもよい。

動作状態は、少なくとも１つのセンサユニットによって容易に検出され、殊に運動センサ、速度センサまたは回転数センサによって検出される。センサユニットは、例えば機械式におよび／または電子式に動作する。

この動作状態は、状態「停止」、「蓄電池の充電」、状態「走行」または別の動作状態であり得る。状態「走行」は、殊に少なくとも２つのサブ状態に分けることができ、例えば、状態「低速での走行」、「中間速度での走行」および「高速での走行」に分けることができる。低速の上方境界は、例えば、３ｋｍ／ｈ（キロメートル毎時）〜１０ｋｍ／ｈの範囲にある。高速の下方境界は、例えば、５０ｋｍ／ｈ〜８０ｋｍ／ｈまたは１００ｋｍ／ｈの範囲にある。

例えば乗員または人員の保護、ひいては技術的なシステムの信頼性への安全要求は、これらの範囲内で著しく異なる。電子装置の要求されている各信頼性は、これらの範囲の使用によって、容易に、冗長性のオフ時でも考慮される。

これらのデータ処理ユニットは、データ伝送網において、データ伝送プロトコールで作動される。このデータ伝送プロトコールは、殊にイーサーネット（登録商標）で、プロセッサまたはネットワークユニット／伝送ユニットをオンすることができる。

イーサーネットでは、例えば、「Wake on LAN（Local Area Network）」が可能である。これによって、オフ後に第２のユニットを、再び容易にオンすることができる。第２のユニットのオン後に、例えば自動的に、ブート過程がスタートする。これは、ＲＯＭからＢＩＯＳ（Basic Input Operation System）を高速メインメモリへロードし、それに続いて、動作システムの主要部分を、その高速メインメモリ又は別の高速メインメモリへロードする。

しかし択一的に、１つないしは複数のデータ伝送網を介した方法とは別の方法で、電源を回路技術的に再びオンないしはオフすることも可能である。これは例えばリレーまたはトランジスタを介して行われる。

スイッチオンを、機械の検出された動作状態に依存して行うことができ、例えば、殊に運転者が乗っている乗用車の場合には、輸送機械の速度変化に依存して行うことができる。

このスイッチオンは、スイッチオフとは異なり、外部から制御可能である。すなわち、第２のユニットとは異なるユニットから制御可能である。なぜなら、スイッチオンしている間の誤った判断は、第２のユニットのスイッチオンによる冗長性の増大を引き起こすからである。第２のユニットはこのような場合に、例えば再びオフになるだろう。

除去されたエントリーは、自動的に再び、第２のデータ処理ユニットによって書き込みできる。これは例えば、機械の現在の動作状態に依存して行われる。第２のデータ処理ユニットがまだ完全にオフされていない場合、または、第２のデータ処理ユニットのオフと、その後に続くオンの後に、これを、第２のユニットによって行うことができる。両方の場合において、除去されたエントリーは例えば一次的に別の箇所に格納され、これによって新たな書き込みが容易になる。

待機状態は、第２のデータ処理ユニットの電源がオフされている、または、第２のデータ処理ユニットが自身の電源から切り離されている状態であり得る。スイッチオン時に、第２のデータ処理ユニットは再びブートする。しかしこれは、例えば５０ｍｓ（ミリ秒）または１００ｍｓよりも短い範囲内で行われる。

待機状態は第１のデータ処理ユニットによって終了し得る。殊に、第２のデータ処理ユニットの電源のオンを促すことによって、または、第２のデータ処理ユニットの電源を、例えば中央電源を第２のデータ処理ユニットと接続させることによって、終了し得る。

給電は、例えば、自身のスイッチングネットワーク部分および／または電圧安定化回路を使用して行われる。

各データ処理ユニットは、それぞれ、少なくとも２つのプロセッサを含む。これらのプロセッサは、同様に、別個のサブデータ処理ユニットの構成部分であり得る。これは略してサブユニットと称される。２つのプロセッサは、同じ機能を提供することができる。これによって、第１のユニットないしは第２のユニット内で冗長性が得られる。この目的は、データ処理ユニット毎の高いエラー自己識別を実現することである。例えば、これらのサブユニットのメモリ内の機械語は１００％、少なくとも９０％または少なくとも６０％一致する。１つのデータ処理ユニットのサブユニットのプロセッサは、自身の動作結果を例えば、双方向に検査する。これらの結果が一致した場合にのみ、これらの結果に属するデータが、別のデータ処理ユニット内でさらに処理される。

これによって全体で、少なくとも４つの冗長的なプロセッサが得られる。これは、人員の安全に関する制御機能の場合、目下のところ十分であると見なされる。計算容量の理由から、さらなるプロセッサをデータ処理ユニット内に設けることもできる。

２つのデータ処理ユニットをそれぞれ、同様に形成された２つのデータ処理接続部またはデータ処理ネットワークに接続することができる。これによって、データ伝送時にも、高い可動率が保証され、かつ、伝送エラーに対する高い安全性が保証される。

例えば、データは、２つの異なる経路を介して伝送され、例えば、２つのバスシステムまたは２つのネットワークレベルを介して、有利には、異なる伝送方向に沿って、例えばリングトポロジーで伝送される。

データ伝送を、有線で、ファイバーで、または、無線で行うことができる。データ伝送は同期または非同期で行われる。殊に、データ伝送時に、データ伝送プロトコールにおいて定められているメッセージが使用される。このプロトコールは例えば、ＩＥＴＦ（Internet Engineering Task Force）のＲＦＣ（Request For Comment）に従った、ＩＥＥ（Institute of Electrical and Electronics Engineers Inc.）802.3,TCP/IP(Transmission Control Protocol)/(Internet Protocol)に従ったイーサーネットプロトコールである。

しかし、自動車産業において一般的に使用されているバスシステムも使用される。例えば：
・二重に構成されたＣＡＮバス（Controller Area Network）、
・ＴＴＰ（Time Triggered Protocol）、
・ＴＴＥ（Time Triggered Ethernet）、
・場合によってはＩＲＴ（Isochronous Real Time）を伴うＰＲＯＦＩＮＥＴ（PROcess FIeld NETwork）または
・FlexRay-Bus
である。

さらに、私有のプロトコールが使用される。

２つのデータ処理ユニットは、機械を開ループ制御するまたは閉ループ制御するための、少なくとも１つのコア機能を提供することができる。これらのコア機能は例えば：
・操舵角の設定
・制動命令の設定
・自動間隔コントロール
・例えば、現場重視の閉ループ制御を使用した、電気駆動モータの閉ループ制御
である。

これらのコア機能は、機械ないしは車両の中央部分に設けられる。しかし、これらのコア機能を分割して実施することも可能であり、これは例えば、別の箇所での実施である。

２つのデータ処理ユニットは、択一的に機能を、機械の少なくとも１つの周辺部分システムにおいて提供することができる。周辺的な部分システムは例えば蓄電池である。例えば：
・操舵角データの操舵運動への変換、ここでハンドルは自動的に操作される
・ブレーキの自動操作
・内燃機関の自動的な駆動制御、例えば、弁または絞り弁の操作
・駆動用の電気モータの自動的な駆動制御

装置に関する課題は、以降で説明される装置によって解決される。発展形態は、従属請求項に記載されている。

機械を動作させる装置は、
・第１のデータ処理ユニットと、
・第２のデータ処理ユニットと、
・第２のデータ処理ユニット内にある第１の制御ユニットとを含んでいる。

ここで、第１のデータ処理ユニットと第２のデータ処理ユニットはそれぞれ少なくとも１つの同じ機能を提供する、ないしは、少なくとも１０％、同じ機能を提供する。典型的には、少なくとも６０％または少なくとも９０％またはむしろ１００％、同じ機能を提供する。第１の制御ユニットは、実行されるべきプロセスのための少なくとも１つのエントリーを、メモリユニットから除去する、または、第２のデータ処理ユニットを自動的に待機状態にする。

方法に対して挙げた技術的な作用が当てはまる。冗長性をオフすることによって、ここでも、エネルギーが効果的に利用される。第１のユニットも、相応の制御ユニットを、冗長性をオフするために有することができる。

この装置は第１のメモリユニットを、第１のデータ処理ユニット内に含むことができる。この場合には、このメモリ処理ユニット内に次のことがエントリーされる。すなわち、第１のデータ処理ユニットが、機能の提供に関して、または、冗長性に関して、第２のデータ処理ユニットよりも優先権を有していることがエントリーされる。

第２のユニット内にも、メモリユニットが設けられる。ここでは次のことがエントリーされる。すなわち、第２のデータ処理ユニットが、第１のユニットよりも下位であることがエントリーされる。これによって、ここでマスター／スレーブ原理が使用される。

この装置は、以下の技術的なデバイスを含んでいる：
・第１のデータ伝送接続部（略してＤＵＥ接続部）または第１のデータ処理ネットワークおよび
・第２のデータ伝送接続部または第２のデータ伝送ネットワーク

第１のデータ処理ユニットおよび第２のデータ処理ユニットは、第１のデータ伝送接続部および第２のデータ伝送接続部に接続可能である。ここで、伝送されるデータの少なくとも６０％または伝送されるデータの少なくとも９０％はまたは伝送される全てのデータは、２つのデータ伝送接続部または２つのデータ伝送網を介して伝送される。

これによって、データ伝送も冗長的になり、ひいては稼働率が高くなる。殊に、上述の規格または事実上の規格に則したデータ伝送プロトコールが使用され、殊に、私有のプロトコールも使用される。

この発明の上述した特性、特徴および利点並びに、本発明を実現する方法は、実施列の後続の説明と組み合わせて、より明確かつより分かり易くなる。本願で用語「できる、得る、可能である」が使用される限り、これは、技術的な可能性および実際の技術的な実施を表している。

以下で、本発明の実施例を、任意の図面に基づいて説明する。

車両内の中央計算機および周辺計算機 種々の動作状態に依存した、車両内の計算機のオンおよびオフ 計算機をオンおよびオフするための方法 実施されるべきプロセスに印が付けられているプロセステーブル プロセスをオンおよびオフするための方法 イーサーネットで駆動される車両の中央データ処理ユニットの構造

車両のスタンバイ時の冗長性遮断が説明される。択一的に、この冗長性遮断は、飛行機または別の機械においても実施可能である。

車両内の安全に関して重要なコンポーネント、例えばハンドルまたはブレーキが機械的ないしは液圧式に駆動制御されない場合、すなわち、駆動制御が例えば電気的に行われる場合、冗長的な手段が設けられなければならない。この手段はエラー時に、例えば、ＣＰＵ（Central Processing Unit）、電流線路、通信線路、ＲＡＭ（Random Access Memory）、計算方法／機能等において、駆動制御を担うことができる。このようなフォールバックレベルが、機械的なフォールバックレベルであるべきではない場合にも、電気的な駆動制御部自体が冗長的に構成されなければならない。すなわち、電気的な線路が二重に構成され、閉ループ制御機能または開ループ制御機能のための計算も二重に、複数のプロセッサコア上で実施される。これは、プロセッサコア自体内の予期せぬエラーを発見するためである。

Ｄｕｏ−Ｄｕｐｌｅｘ構造の場合には、これは次のことを意味する。すなわち、マルチチャネル線路の他に、４つのプロセッサコアが使用されることを意味する。従って、この場合にはエネルギー需要が高くなる。すなわち、冗長的な駆動制御が設定されていない場合のエネルギー消費と比べて、エネルギー消費は４倍になる。しかしこの冗長性は、全ての状況で必要とされるのではない。ただし、車両内のシステムを完全に遮断してしまうことはできない。例えば、駐車中でも、システムは起動されていなければならない。しかしこれは安全に関して重要なものではなく、むしろ、スタンバイ時には、消費されるエネルギーができるだけ少ないことが重要である。これによって、車両を長期間（例えば駐車期間中）にわたって動かさなくてもよくなる。同様のことが、Ｔｒｉｐｌｅｘ構造にも当てはまる。

これまで、自動車業界ではまだ、中心的な構成において、安全に関する重要なシステムに完全に電気的な駆動方式は使用されていない。Ｘ−ｂｙ−Ｗｉｒｅソリューションは、例えば、幾つかの部分システムに対してのみ構築可能である。この場合には、駐車時に、全ての部分システムがオフ状態にされる。

車両の中央Ｅ／Ｅ構成（電気／電子構成）において、これらのコンポーネントは、次のように設計される。すなわちこれらのコンポーネントが、Ｄｕｏ−ＤｕｐｌｅｘまたはＴｒｉｐｌｅｘ構成において機能可能であるように設計される。しかし、それらは非冗長的な起動指示によって起動される。スタンバイ時には、必要な機能のみが作動され、その他の全てのものは計算されない。冗長的なプロセッサコアは、残りのアクティブな機能が冗長性を必要としない限り、オフされる。計算および必要な通信は、依然として１チャネルでのみ行われる。冗長性が再び必要になると迅速に、プロセッサコアが自動的にブートされ、同期される。通信は再び、マルチチャネルで行われる。それ以降も必要とされないサブシステムと機能は、起動されないままであり、冗長的に動かされない。

車両の全ての状態に対して、Ｅ／Ｅ構造が、安全に関して重要なシステムに対しても、冗長的に設計される必要はない。特定の状態、例えば駐車に対しては、冗長性を省くことができ、他の状態に対しては、部分システムにおいてのみ冗長性が必要とされる。冗長性が必要でない場合には、エネルギー需要は低下する。

中央制御ユニット（例えば冗長的なプロセッサコア）に対するスタンバイモードは、このモードに対して別個のさらなる機器ないしはサブシステムを設けることなく、実現される。スタンバイ時間は長くなる。バッテリーの再充電が必要になるまでの時間が長くなる。

このシステムが自力で、冗長性に対して必要なコンポーネントを起動させることができる場合には、車両は、安全に関して重要な機能を、ユーザーから直接的に監視されなくても、実施することができる（例えば、遠隔制御充電過程または放電過程）。

ｎ＞２個のＤｕｐｌｅｘシステムの使用も可能である（ここでｎは自然数である）。すなわち、ｎ個のＤｕｐｌｅｘ計算機（１つのＤｕｐｌｅｘユニット毎に、ｎ×２個のプロセッサコアを有する）の使用も可能である。

図１は、車両内の、殊に蓄電池動作式車両ないしはバッテリー動作式車両、電気自動車内の中央計算機と周辺計算機を示している。この車両は、車載の中央計算機１０と別の計算機ユニットとを有している。

車載の中央計算機１０は、
・第１の中央制御ユニットＶＣＣ１と
・第２の中央制御ユニットＶＣＣ２とを有している。

別の計算ユニットには、
・第１の操舵制御ユニットＳｂｗ１（Stear by wire）と、
・第２の操舵制御ユニットＳｂｗ２と、
・第１の制動制御ユニットＢｂｗ１（Break by wire）と、
・第２の制動制御ユニットＢｂｗ２と、
・冗長的にまたは非冗長的に構成されている、図示されていないさらなるユニット
が属している。

さらに、第１のデータ伝送網ＤＴ１と、第２のデータ伝送網ＤＴ２とが存在する。これらのデータ伝送網は、車載計算機１０と別の計算ユニットとを接続する。

第１の中央制御ユニットＶＣＣ１は、
・図示されていない記憶ユニット内に格納されているプログラム命令を処理するプロセッサＰｒ１とプロセッサＰｒ２、例えばマイクロプロセッサと、
・プロセッサＰｒ１およびＰｒ２からデータ伝送網ＤＴ１、ＤＴ２への接続およびデータ伝送網ＤＴ１、ＤＴ２からプロセッサＰｒ１およびＰｒ２への接続を形成する２つの伝送ユニットＮ１ａ、Ｎ１ｂとを含んでいる。

伝送ユニットＮ１ａ、Ｎ１ｂは、イーサーネットの使用時には、例えば、いわゆる２つのスイッチによって形成される。これについては、以降で図６に基づいてより詳細に説明する。しかし別のネットワークも同様に使用可能である。これは殊に、冒頭に記載したプロトコールにおけるものである。

第２の中央制御ユニットＶＣＣ２は、
・図示されていない記憶ユニット内に格納されているプログラム命令を処理するプロセッサＰｒ３とプロセッサＰｒ４、例えばマイクロプロセッサと、
・プロセッサＰｒ３およびＰｒ４からデータ伝送網ＤＴ１、ＤＴ２への接続およびデータ伝送網ＤＴ１、ＤＴ２からプロセッサＰｒ３およびＰｒ４への接続を形成する２つの伝送ユニットＮ２ａ、Ｎ２ｂとを含んでいる。これらの伝送ユニットＮ２ａ、Ｎ２ｂは、例えば、伝送ユニットＮ１ａ、Ｎ１ｂと同様に形成されている。

第１の中央制御ユニットＶＣＣ１と第２の中央制御ユニットＶＣＣ２は、例えば、以下の機能の少なくとも１つ、または、全ての機能を冗長的に提供する：
・操舵用の主要機能、ここでは例えばセットされるべき操舵角が出力される
・間隔走行用の主要機能、ここでは例えば加速度データまたは減速データが形成される
・例えば、ＡＢＳ（Anti Blockier System）の範囲内での自動制動過程のための主要機能
・アンチスリップレギュレーション（ＡＳＲ）の主要機能
・横滑り防止プログラムＥＳＰの主要機能
・電気自動車の駆動部として使用される電気モータの閉ループ制御
・電子制御ブレーキシステム（ＥＢＶ）の主要部分

第１の操舵制御ユニットＳｂｗ１は、
・図示されていない記憶ユニット内に格納されているプログラム命令を処理するプロセッサＰｒ５とプロセッサＰｒ６、例えばマイクロプロセッサと、
・プロセッサＰｒ５およびＰｒ６からデータ伝送網ＤＴ１、ＤＴ２への接続およびデータ伝送網ＤＴ１、ＤＴ２からプロセッサＰｒ５およびＰｒ６への接続を形成する２つの伝送ユニットＮ１ａ、Ｎ１ｂとを含んでいる。

第２の操舵制御ユニットＳｂｗ２は、
・図示されていない記憶ユニット内に格納されているプログラム命令を処理する第１のプロセッサＰｒ７と第２のプロセッサＰｒ８、例えばマイクロプロセッサと、
・プロセッサＰｒ７およびＰｒ８からデータ伝送網ＤＴ１、ＤＴ２への接続およびデータ伝送網ＤＴ１、ＤＴ２からプロセッサＰｒ７およびＰｒ８への接続を形成する２つの伝送ユニットＮ１ａ、Ｎ１ｂとを含んでいる。

第１の操舵制御ユニットＳｂｗ１と第２の操舵制御ユニットＳｂｗ２は、以下の機能を冗長的に提供する
・受信した、操舵角のためのデータを、車両の操舵運動に変える

第１の制動制御ユニットＢｂｗ１は、
・図示されていない２つのプロセッサ、殊にマイクロプロセッサと、
・第１の制動駆動制御ユニットＢｂｗ１のプロセッサをデータ伝送網ＤＴ１、ＤＴ２に結合するための、図示されていない２つの伝送ユニット
とを含んでいる。

第２の制動制御ユニットＢｂｗ２は、
・図示されていない２つのプロセッサ、殊にマイクロプロセッサと、
・第２の制動駆動制御ユニットＢｂｗ２のプロセッサをデータ伝送網ＤＴ１、ＤＴ２に結合するための、図示されていない２つの伝送ユニット
とを含んでいる。

第１の制動制御ユニットＢｂｗ１と第２の制動制御ユニットＢｂｗ２は、以下の機能を冗長的に提供する
・制御ユニットＶＣＣ１の故障時に、制御ユニットＶＣＣ１ないしはＶＣＣ２の中央設定に依存してブレーキを操作する
・ＡＢＳ制動過程の枠内での離散的（非中央的）な機能
・ＥＳＰ過程の枠内での離散的な機能

データ伝送網ＤＴ１、ＤＴ２は、図１に示されているユニット間のデータの冗長的な伝送を可能にする。データ伝送網ＤＴ１、ＤＴ２は、同じ伝送プロトコール、例えばＦｌｅｘ−Ｒａｙ、ダブルＣＡＮ−Ｂｕｓまたはイーサーネットに従って動作する。これについては以降で図６に基づいてより詳細に説明する。

図２は、種々の動作状態に依存した、車両ないしは車載ネットワーク１０内の計算機のオンとオフを示している。

動作状態Ｚ１は、車両の走行に関する。これは、例えば中間の速度（例えば３０ｋｍ／ｈ〜６０ｋｍ／ｈの領域における速度）での走行である。動作状態Ｚ２は、例えば信号での車両の停止に関する。動作状態Ｚ２は、動作状態Ｚ１に続く。信号が緑に変わると、動作状態Ｚ２には、動作状態Ｚ３が続く。ここでは、車両は再び中間の速度で走行する。

動作状態Ｚ１では、以下の接続状態が存在する
・第１の中央制御ユニットＶＣＣ１：プロセッサＰｒ１がオンであり、プロセッサＰｒ２がオンである
・第２の中央制御ユニットＶＣＣ２：プロセッサＰｒ３がオンであり、プロセッサＰｒ４がオンである
・第１の操舵制御ユニットＳｂｗ１：プロセッサＰｒ５がオンであり、プロセッサＰｒ６がオンである
・第２の操舵制御ユニットＳｂｗ２：プロセッサＰｒ７がオンであり、プロセッサＰｒ８がオンである

動作状態Ｚ２においては、以下の接続状態が存在する
・第１の中央制御ユニットＶＣＣ１：プロセッサＰｒ１がオンであり、プロセッサＰｒ２がオンである
・第２の中央制御ユニットＶＣＣ２：プロセッサＰｒ３がオフであり、プロセッサＰｒ４がオフである
・第１の操舵制御ユニットＳｂｗ１：プロセッサＰｒ５がオンであり、プロセッサＰｒ６がオンである
・第２の操舵制御ユニットＳｂｗ２：プロセッサＰｒ７がオフであり、プロセッサＰｒ８がオフである

第３の動作状態Ｚ３においては、再び、第１の動作状態Ｚ１において挙げられた接続状態が存在する。

このようにして、人間の安全に関係しない状態において、動作状態Ｚ２では冗長性が低減され、これによって、エネルギーが効果的に利用される。しかし少なくとも１つのシステムは起動されたままである。これは、ここでは第１の中央制御ユニットＶＣＣ１ないしは第１の操舵制御ユニットＳｂｗ１である。

中央制御ユニットＶＣＣ１およびＶＣＣ２、操舵制御ユニットＳｂｗ１およびＳｂｗ２並びに制動制御ユニットＢｂｗ１およびＢｂｗ２は、択一的に、オンおよびオフに関して全体ユニットとしても駆動制御可能である。これは、プロセッサに関するオンまたはオフとは異なる。このオンおよびオフは、例えば、電源ユニットのオンまたはオフによって、または、電源ユニットの切り離しないしは電源ユニットとの接続によって行われる。

図３は、計算機のオンおよびオフのための方法を示している。これによって、例えば、図２に基づいて示された接続状態間での切り替えが行われる。

図３に示されたステップ１０２〜１０６は、第１の形態において、中央制御ユニットＶＣＣ２において実施される。ステップ１０８〜１１２は、これとは異なり、第１の形態では、中央制御ユニットＶＣＣ１内で実施される。

この方法は、方法ステップ１００で始まる。これは略して、ステップ１００とも称される。

ステップ１００に続くステップ１０２では、車両の動作状態が検出される。これは例えば、第２の中央制御ユニットＶＣＣ２によって行われる。

ステップ１０２の後に、第２の中央制御ユニットＶＣＣ２によって、ステップ１０４が実施される。ステップ１０４では、車両が動作状態Ｚ２にあるか否か、すなわち停止しているか否かが検査される。車両が動作状態Ｚ２にある場合、すなわち、停止している場合、ステップ１０４に、直接的に方法ステップ１０６が続く。このステップでは、第２の操舵制御ユニットＶＣＣ２が自身でオフになる。

これに対して、車両が動作状態Ｚ２にない場合、すなわち、停止していない場合、ステップ１０４に、直接的にステップ１０８が続く。このステップ１０８では、第１の制御ユニットＶＣＣ１が動作状態を検出する。

ステップ１０８に続くステップ１１０では、第１の制御ユニットＶＣＣ１は、状態Ｚ１、Ｚ３、すなわち走行がアクティブであるか否かを検査する。車両が動作状態Ｚ１ないしはＺ３にある場合、すなわち走行している場合、ステップ１１０に直接的に、方法ステップ１１２が続く。この方法ステップ１１２では、第１の制御ユニットＶＣＣ１が第２の制御ユニットＶＣＣ２をオンする。

これとは異なりこの車両が、動作状態Ｚ１ないしはＺ３にない場合、すなわち走行していない場合、ステップ１１０に直接的に再び、ステップ１０２が続く。

第２の形態では、図３に示された方法が、第２の操舵制御ユニットＳｂｗ２に対して実施される。図３に示されたステップ１０２〜１０６は、この第２の形態では、第２の操舵制御ユニットＳｂｗ２内で実行される。ステップ１０８〜１１２はこの第２の形態では、これとは異なり、第１の操舵制御ユニットＳｂｗ１内で実施される。

この方法は、再び、方法ステップ１００で始まる。これは、略してステップ１００とも称される。

このステップ１００に続くステップ１０２では、車両の動作状態が検出される。これは例えば、第２の操舵制御ユニットＳｂｗ２によって行われる。

ステップ１０２の後に、第２の操舵制御ユニットＳｂｗ２によって、ステップ１０４が実施される。ステップ１０４では、車両が動作状態Ｚ２にあるか否か、すなわち停止しているか否かが検査される。車両が動作状態Ｚ２にある場合、すなわち、停止している場合、ステップ１０４に、直接的に方法ステップ１０６が続く。このステップでは、第２の操舵制御ユニットＳｂｗ２が自身でオフになる。

これに対して、車両が動作状態Ｚ２にない場合、すなわち、停止していない場合、ステップ１０４に、直接的に方法ステップ１０８が続く。この方法ステップ１０８では、第１の操舵制御ユニットＳｂｗ１が動作状態を検出する。

ステップ１０８に続く方法ステップ１１０では、第１の操舵制御ユニットＳｂｗ１は、状態Ｚ１、Ｚ３、すなわち走行がアクティブであるか否かを検査する。車両が動作状態Ｚ１ないしはＺ３にある場合、すなわち走行している場合、ステップ１１０に直接的に、方法ステップ１１２が続く。この方法ステップ１１２では、第１の操舵制御ユニットＳｂｗ１が第２の操舵制御ユニットＳｂｗ２をオンする。

これとは異なり車両が、動作状態Ｚ１ないしはＺ３にない場合、すなわち走行していない場合、ステップ１１０には直接的に再び、方法ステップ１０２が続く。

例えば方法ステップ１０２と１０４との間にある選択的な付加的な方法ステップにおいては、図３の２つの形態において、依然として冗長性が存在しているか否かを検査することができる。すなわち、中央制御ユニットＶＣＣ１ないしは第１の操舵制御ユニットＳｂｗ１が依然として完全に機能可能か否かが検査される。中央制御ユニットＶＣＣ１ないしは第１の操舵制御ユニットＳｂｗ１が依然として完全に機能可能である場合には、この方法は、上述したように実施される。これとは異なり、中央制御ユニットＶＣＣ１または第１の操舵制御ユニットＳｂｗ１がもはや使用可能でない場合、この方法は中断される。

図３に示されたこの方法は単なる例である。同じ機能が別の方法によって実現されてもよい。例えば、接続状態を切り替えるための方法は、動作状態の切り替え時にのみ呼び出される。従って、動作状態を、継続的に求める必要はない。動作状態の周期的な問い合わせも可能である。

図４は、プロセステーブルを示している。このプロセステーブル内では、実施されるべきプロセスに印が付けられている。例えば、各列はプロセステーブルに相当し、ここでこれらのプロセステーブルは、以降のように、プロセッサＰｒ１〜Ｐｒ４に割り当てられている：
・列１、すなわち第１のプロセッサテーブルはプロセッサＰｒ１に割り当てられており、
・列２、すなわち第２のプロセッサテーブルプロセッサＰｒ２に割り当てられており、
・列３、すなわち第３のプロセッサテーブルはプロセッサＰｒ３に割り当てられており、
・列４、すなわち第４のプロセッサテーブルプロセッサＰｒ４に割り当てられている。

４つのプロセステーブルにおいて、以下の行がそれぞれ次のものに関係する：
・第１の行：機能Ｆ１、これはこの例では操舵に関する
・第２の行：機能Ｆ２、これはこの例では所定の速度の維持に関する（ＡＣＣ−Automatic Cruising Control）
・第３の行：機能Ｆ３、これはこの例では蓄電池（俗語では、Akkuまたはバッテリーとも称される）の充電に関する
・第４の行：機能Ｆ４、これはこの例では、車両の電子的な安定性ＥＳＰ（横滑り防止プログラム）に関する
・第５の行：機能Ｆ５、これはこの例では、エンジン制御、殊に電気モータの閉ループ制御に関する
・第６の行：機能Ｆ６、これはこの例では、移動無線網、ここではＵＭＴＳ（Universal Mobile Telecommunication System）または択一的にＬＴＥ（Long Term Evolution）ネットワークとの接続に関する

図４に示された、行と列の交点での×印は、該当するプロセステーブル内のエントリーを表している。このエントリーがある場合には、該当する機能に属するプロセスが、該当するプロセッサ内で実行される。これとは異なり、このエントリーがこの箇所に存在していない場合には、それに対して行が設定されている機能を提供するプロセスは実施されない。

エントリー１２０は、例えば、プロセッサＰｒ３内の機能Ｆ１に関連する。エントリー１２２は、例えば、プロセッサＰｒ４内の機能Ｆ１に関する。

図４に示されたエントリーは、例えば、エネルギーが効率的に使用されない状態に相当する。なぜなら、冗長性が所期のように低減されていないからである。

これとは異なり、図５に基づいて説明される方法では、冗長性を所期のように低減させることができる。

既にエネルギーが最適化された状態Ｚ４において「走行」は以下のことに当てはまる：
・機能Ｆ１「操舵」に対するエントリーが全てのプロセッサテーブル内に書き込みされている。
・機能Ｆ２「ＡＣＣ（Automatic Cruising Control）」に対するエントリーが、当該機能がアクティブである場合には、全プロセッサテーブル内に記入されている。択一的に、機能「ＡＣＣ」が使用されていない場合には、プロセッサＰｒ１およびＰ２に対するエントリーのみが書き込みされている。
・機能Ｆ３に対するエントリーは全て除去されている。なぜなら、この車両は例えば加速しているからである。
・機能Ｆ４「ＥＳＰ」に対するエントリーは、全４つのプロセステーブル内に記入されている。択一的に、クリチカルでない走行状況では、プロセッサＰｒ１に対するエントリーと、プロセッサＰｒ２に対するエントリーで十分である。
・エンジン開ループ制御／閉ループ制御のために、プロセッサＰｒ１とプロセッサＰｒ２に対する列に２つのエントリーが存在する。
・機能Ｆ６（ＵＭＴＳ）に対するエントリーは、第１の列内に存在している。すなわち、プロセッサＰｒ１に対する列内に存在している。

動作状態Ｚ５では、車両は、例えば信号で停止している。従って、第２の中央制御ユニットＶＣＣ２によって、エントリー１２０と１２２が除去される。これは許される。なぜなら、停止時には、操舵運動は予期されていない、または、クリチカルでない操舵運動のみが予期されているからである。従って、四重の冗長性は不必要である。これとは異なり、初めの２つの列においては、機能Ｆ１「操舵」に対するエントリーが依然として存在している。

動作状態Ｚ５では、機能Ｆ２「ＡＣＣ」に対するエントリーが、プロセッサＰｒ３およびＰｒ４に対する列において除去されている。これとは異なり、初めの２つの列、すなわちプロセッサＰｒ１とＰｒ２に対する列では、機能Ｆ２「ＡＣＣ」に対するエントリーが残されている。機能Ｆ４およびＦ５は、それぞれ、プロセッサＰｒ１ないしはＰｒ２によって果たされる。機能Ｆ６は、プロセッサＰｒ１によって果たされる。

動作状態Ｚ６では、車両が停止しており、例えば、コンセントを介して充電されている。２つのエントリーのみが第３の行に存在している。これはすなわち、充電に対する行である。他の全てのエントリーは消されている。従って、プロセッサＰｒ３とＰｒ４はオフされ、プロセッサＰｒ１とＰｒ２は、小さい計算能力しか必要としない。

図５は、プロセッサのオンおよびオフのための方法を示している。

図５に示されたステップ２００〜２１２は、第１の形態では、中央制御ユニットＶＣＣ２内で実施される。

この方法は方法ステップ２００で始まる。これは、略してステップ２００とも称される。ステップ２００に続くステップ２０２では、車両の動作状態が検出される。これは例えば、第２の中央制御ユニットＶＣＣ２によって行われる。

ステップ２０２の後、第２の中央制御ユニットＶＣＣ２によって、ステップ２０４が実施される。ステップ２０４では、車両が動作状態Ｚ５にあるか否かが検査される。車両が動作状態Ｚ５にある場合、すなわち、停止している場合、ステップ２０４の直後に方法ステップ２０６が続く。ここでは第２の制御ユニットＶＣＣ２が、１つのプロセッサテーブルないしは２つのプロセッサテーブル内でエントリー１２０および１２０を除去することによって、機能Ｆ１をオフにする。従って、機能Ｆ１はプロセッサＰｒ３およびＰｒ４によってもはや実施されない。

これとは異なり、車両が動作状態Ｚ５にない場合、すなわち、停止していない場合、ステップ２０４に直接的に方法ステップ２０８が続く。ここでは第２の制御ユニットＶＣＣ２が動作状態を再び検出する。

ステップ２０８に続く方法ステップ２１０では、第２の制御ユニットＶＣＣ２は、状態Ｚ４、すなわち走行がアクティブであるか否かを検査する。車両が動作状態Ｚ４にある場合、すなわち走行している場合、ステップ２１０に直接的に、方法ステップ２１２が続く。この方法ステップ２１２では、第２の制御ユニットＶＣＣ２が機能Ｆ１をオンする。これは例えば、エントリー１２０および１２２を２つのプロセッサテーブル内に書き込むことによって行われる（図４を参照）。

これとは異なり、車両が動作状態Ｚ４にない場合、すなわち走行していない場合、ステップ２１０に直接的に再び、方法ステップ２０２が続く。

第２の形態では、図３に示された方法が、第２の制動制御ユニットＢｂｗ２に対して実行される。方法ステップ２００〜２１２は、この第２の形態では、制動制御ユニットＢｂｗ２内で実施される。

この方法は、ここでも、方法ステップ２００において始まる。これは、略してステップ２００とも称される。このステップ２００に続くステップ２０２において、車両の動作状態が検出される。これは例えば、第２の制動制御ユニットＢｂｗ２によって行われる。

ステップ２０２の後に、第２の制動制御ユニットＢｂｗ２によって、ステップ２０４が実施される。ステップ２０４では、車両が動作状態Ｚ５にあるか否かが検査される。車両が動作状態Ｚ５にある場合、すなわち、停止している場合、ステップ２０４に、直接的に方法ステップ２０６が続く。この方法ステップでは、第２の制動制御ユニットＢｂｗ２が機能ＡＢＳをオフする。これは、第２の制動制御ユニットＢｂｗ２の１つのプロセステーブルないしは２つのプロセステーブルにおいてエントリーを除去することによって行われる。これによって、機能ＡＢＳは、第２の制動制御ユニットＢｂｗ２の２つのプロセッサによって実施されなくなる。

これに対して、車両が動作状態Ｚ５にない場合、すなわち、停止していない場合、ステップ２０４に、直接的に方法ステップ２０８が続く。この方法ステップ２０８では、第２の制動制御ユニットＢｂｗ２が動作状態を再び検出する。

ステップ２０８に続く方法ステップ２１０では、制動制御ユニットＢｂｗ２は、状態Ｚ４、すなわち走行がアクティブであるか否かを検査する。車両が動作状態Ｚ４にある場合、すなわち走行している場合、ステップ２１０に直接的に、方法ステップ２１２が続く。この方法ステップ２１２では、第２の制動制御ユニットＢｂｗ２が機能ＡＢＳをオンする。これは例えば、以前除去されたエントリーを、第２の制動制御ユニットＢｂｗ２の２つのプロセステーブル内に記入することによって行われる。

これとは異なりこの車両が、動作状態Ｚ４にない場合、すなわち走行していない場合、ステップ２１０に直接的に再び、方法ステップ２０２が続く。

例えばステップ２０２と２０４との間にある選択的な付加的なステップでは、図５に基づいて説明された方法では、依然として冗長性が存在しているか否かが検査される。すなわち、中央制御ユニットＶＣＣ１ないしは第１の制動制御ユニットＢｂｗ１が依然として完全に機能し得るか否かが検査される。中央制御ユニットＶＣＣ１ないしは第１の制動制御ユニットＢｂｗ１が依然として完全に機能し得る場合には、この方法は、上述したように実施される。これとは異なり、中央制御ユニットＶＣＣ１ないしは第１の制動制御ユニットＢｂｗ１がもはや使用可能でない場合、この方法は中断される。

図５に示された方法は単なる例である。同じ機能が別の方法によって実現されてもよい。例えば、接続状態を切り替えるための方法は、動作状態の切り替え時にのみ呼び出される。従って、動作状態を、継続的に求める必要はない。動作状態の周期的な問い合わせも可能である。

図６は、車両の中央データ処理ユニット３００ないしはＶＣＣ１の構造を示している。ここでこのデータ処理ユニット３００ないしＶＣＣ１は、イーサーネットで動作する。

中央制御ユニット３００は、上述したプロセッサＰｒ１およびＰｒ２、並びに、図示されていない、属する記憶ユニットの他に、
・イーサーネットプロトコールに従って動作する第１のスイッチＳＷ１と、
・イーサーネットプロトコールに従って動作する第２のスイッチＳＷ２とを有している。

スイッチＳＷ１は、
・プロセッサＰｒ１、
・スイッチＳＷ２および
・ネットワーク部分３０２に対する接続を有している。

スイッチＳＷ２は、
・プロセッサＰｒ２、
・スイッチＳＷ１および
・ネットワーク部分３０４に対する接続を有している。

例えば、イーサーネットの２つのネットワークレベルが規定されている。ネットワーク部分３０２に関して、スイッチＳＷ１はレベル１上で送信し、レベル２上で受信する。ネットワーク部分３０４に関して、スイッチＳＷ２はレベル２上で送信し、レベル１上で受信する。

これによって、制御ユニット３００ないしはＶＣＣ１はデータをレベル１において右から受信する（Ｒ−receive）。これは、データを自身で処理する、または、レベル１において左へ再び送信する（Ｓ−send）。レベル２では、制御ユニット３００ないしはＶＣＣ１はデータを左から受信する（Ｒ−receive）。これは、データを自身で処理する、または、レベル２において右へと再び送信する（Ｓ−send）。このようなトポロジーおよびこのような設定によって、２つの伝送方向を有するリングトポロジーまたは別のネットトポロジーが形成され、これによって、冗長的なデータ伝送が可能になる。例えば、メッセージは最初に、レベル１および２両方を介して受信されなければならず、その後に、これが処理され、これによって、開ループ制御過程または閉ループ制御過程がトリガ可能である。

高いプロトコールレベルにおいて、この実施例では、ＴＣＰ／ＩＰが使用される。しかし、別のネットワークプロトコールを、イーサーネットないしはＴＣＰ／ＩＰの代わりに使用することもできる。

データ処理ユニットＶＣＣ２は、図６の実施例では、データ処理ユニットＶＣＣ１と同様に形成される。すなわち、これは、プロセッサＰｒ３およびＰｒ４の他に、同様に、２つのスイッチＳＷ３とＳＷ４とを有している。このスイッチＳＷ３は例えば、ネットワーク部分３０２ｂと接続されており、スイッチＳＷ４はネットワーク部分３０４ｂと接続されている。２つの制御ユニットＶＣＣ１とＶＣＣ２は、以下の順番で、例えば、１つの内側リングになるように接続される：
・制御ユニット３００ないしはＶＣＣ１、
・ネットワーク部分３０２、
・第５のイーサーネットスイッチＳＷ５、
・ネットワーク部分３０４ｂ、
・制御ユニットＶＣＣ２、
・ネットワーク部分３０２ｂ、
・第６のイーサーネットスイッチＳＷ６、
・ネットワーク部分３０４

このリングトポロジーにおいて、この場合には、メッセージに対して２つの伝送方向が可能である。ネットワークのレベル１における１つの方向と、ネットワークのレベル２における逆の方向である。従って、第１の冗長性が生じる。リングのセグメントが使用可能でない場合、全てのユニットが少なくとも１つの伝送方向を介して到達可能である。これは、さらなる冗長性を意味している。

この場合には、スイッチＳＷ５およびＳＷ６に、少なくとも１つの別のイーサーネットリングが接続可能である。ここでは、同様に、操舵制御ユニットＳｂｗ１、Ｓｂｗ２、制動制御ユニットＢｂｗ１およびＢｂｗ２並びに場合によっては別のユニットが接続されている。

これらの実施例は縮尺通りには記載されておらず、本願を制限するものではない。当業者による操作の範囲内で変更を行うことができる。本発明を、有利な実施例によって詳細に説明したが、本発明はこの開示された例によって制限されるものではなく、本発明の保護範囲を逸脱することなく、ここから、当業者によって別の形態が導出可能である。

本発明は、殊に車両内の、高い可用性を有する、少なくとも２つのデータ処理ユニットの作動方法に関する。第１のデータ処理ユニットと第２のデータ処理ユニットは、それぞれ少なくとも１つの同じ機能を提供する、または少なくとも１０％、同じ機能を提供する。典型的に、データ処理ユニットは、例えば第１のデータ処理ユニットの機械語に関して、それぞれ少なくとも６０％または少なくとも９０％まで同じ機能を提供する。２つのユニットは、例えば、同じステップを行う。エラー時には、例えば、機械（例えば車）の自動制御がオフされて、手動制御へ移行する、または、例えば２つのデータ処理ユニットのうちの１つだけが動作する縮退プロセスへの切り替えが行われる。
「特許文献１」ＵＳ７９７９７４６Ｂ２号
「特許文献２」ＤＥ１９７４９０６８Ａ１号

図１は、車両内の、殊に蓄電池動作式車両ないしはバッテリー動作式車両ないしは電気自動車内の中央計算機と周辺計算機を示している。この車両は、車載の中央計算機１０と別の計算機ユニットとを有している。

別の計算ユニットには、
・第１の操舵制御ユニットＳｂｗ１（Steer by wire）と、
・第２の操舵制御ユニットＳｂｗ２と、
・第１の制動制御ユニットＢｂｗ１（Break by wire）と、
・第２の制動制御ユニットＢｂｗ２と、
・冗長的にまたは非冗長的に構成されている、図示されていないさらなるユニット
が属している。

第２の形態では、図５に示された方法が、第２の制動制御ユニットＢｂｗ２に対して実行される。方法ステップ２００〜２１２は、この第２の形態では、制動制御ユニットＢｂｗ２内で実施される。

Claims (15)

1. 殊に車両内の、高い可用性を有する少なくとも２つのデータ処理ユニット（ＶＣＣ１、ＶＣＣ２）の作動方法であって、
   第１のデータ処理ユニット（ＶＣＣ１）と第２のデータ処理ユニット（ＶＣＣ２）とがそれぞれ少なくとも６０％、または少なくとも９０％、同じ機能を提供することができ、
   前記第２のデータ処理ユニット（ＶＣＣ２）は、実行されるべきプロセスに対する少なくとも１つのエントリー（１２０、１２２）を記憶ユニットから自動的に除去する、または、自動的に待機状態に移行する、
   ことを特徴とする、少なくとも２つのデータ処理ユニットの作動方法。
2. 作動のために前記データ処理ユニット（ＶＣＣ１、ＶＣＣ２）が使用される機械、殊に輸送機械の動作状態（Ｚ１〜Ｚ６）に依存して、前記エントリー（１２０、１２２）の除去または前記待機状態への移行を行う、請求項１記載の方法。
3. 少なくとも１つのセンサユニット、殊に運動センサ、速度センサまたは回転数センサによって前記動作状態（Ｚ１〜Ｚ６）を検出する、請求項２記載の方法。
4. 前記動作状態（Ｚ１〜Ｚ６）は、停止状態（Ｚ２、Ｚ５）、蓄電池の充電（Ｚ６）または走行状態（Ｚ１、Ｚ３、Ｚ４）である、請求項２または３記載の方法。
5. データ伝送網（ＤＴ１、ＤＴ２）でデータ伝送プロトコールを用いて前記データ処理ユニット（ＶＣＣ１、ＶＣＣ２）を作動させて、殊にイーサーネットでのプロセッサ（Ｐｒ１〜Ｐｒ６）またはネットワークユニット（Ｎ１〜Ｎ４）のオンを可能にする、請求項１から４までのいずれか１項記載の方法。
6. 前記第２のデータ処理ユニット（ＶＣＣ２）によって、有利には前記機械の現在の動作状態（Ｚ１〜Ｚ６）に依存して、前記除去したエントリー（１２０、１２２）を自動的に、再び書き込む、請求項１から５までのいずれか１項記載の方法。
7. 前記待機状態は、前記第２のデータ処理ユニット（ＶＣＣ２）の前記電源がオフされている状態、または、前記前記第２のデータ処理ユニット（ＶＣＣ２）が自身の電源から切り離されている状態である、請求項１から６までのいずれか１項記載の方法。
8. 前記第１のデータ処理ユニット（ＶＣＣ１）によって前記待機状態を終わらす、
   殊に、前記第２のデータ処理ユニット（ＶＣＣ２）の電源をオンにする、または、前記第２のデータ処理ユニット（ＶＣＣ２）の電源と前記第２のデータ処理ユニット（ＶＣＣ２）を接続することによって前記待機状態を終わらす、請求項７記載の方法。
9. 各データ処理ユニット（ＶＣＣ１、ＶＣＣ２）はそれぞれ、少なくとも２つのプロセッサ（Ｐｒ１〜Ｐｒ４）を含んでいる、請求項１から８までのいずれか１項記載の方法。
10. 前記２つのデータ処理ユニット（ＶＣＣ１、ＶＣＣ２）はそれぞれ、２つの冗長的なデータ伝送接続部（ＤＴ１、ＤＴ２）またはデータ処理網に接続されている、請求項１から９までのいずれか１項記載の方法。
11. 前記２つのデータ処理ユニット（ＶＣＣ１、ＶＣＣ２）は、前記機械を開ループ制御するまたは閉ループ制御するための少なくとも１つのコア機能を提供する、請求項１から１０までのいずれか１項記載の方法。
12. 前記２つのデータ処理ユニット（Ｓｂｗ１、Ｓｂｗ２；Ｂｂｗ１、Ｂｂｗ２）は、少なくとも１つの機能を、前記機械の少なくとも１つの周辺サブシステムにおいて提供する、請求項１から１１までのいずれか１項記載の方法。
13. 機械の作動装置（１０）であって、
    当該作動装置は、第１のデータ処理ユニット（ＶＣＣ１）と、第２のデータ処理ユニット（ＶＣＣ２）と、当該第２のデータ処理ユニット（ＶＣＣ２）内にある第１の制御ユニットとを有しており、
    前記第１のデータ処理ユニット（ＶＣＣ１）と前記第２のデータ処理ユニット（ＶＣＣ２）とは、それぞれ少なくとも６０％または少なくとも９０％同じ機能を提供することができ、
    前記第１の制御ユニットは、実行されるべきプロセスに対する少なくとも１つのエントリー（１２０、１２２）を記憶ユニットから除去する、または、前記第２のデータ処理ユニット（ＶＣＣ２）を自動的に待機状態に移行させる、
    ことを特徴とする、機械の作動装置（１０）。
14. 前記第１のデータ処理ユニット（ＶＣＣ１）内に第１の記憶ユニットを有しており、
    前記機能の提供に関して、または、前記冗長性に関して、前記第１のデータ処理ユニット（ＶＣＣ１）が前記第２のデータ処理ユニット（ＶＣＣ２）よりも優位にあるというエントリーが当該第１の記憶ユニット内に付けられている、請求項１３記載の装置（１０）。
15. 前記第１のデータ処理ユニット（ＶＣＣ１）と前記第２のデータ処理ユニット（ＶＣＣ２）が接続されている、第１のデータ伝送接続部（ＤＴ１）または第１のデータ処理網と、第２のデータ伝送接続部（ＤＴ２）または第２のデータ伝送網とを有しており、
    伝送されるべきデータの少なくとも６０％または少なくとも９０％が、前記２つのデータ伝送接続部（ＤＴ１、ＤＴ２）または前記２つのデータ伝送網を介して伝送される、請求項１３または１４記載の装置（１０）。

Images